RODO – zmiany w przepisach sektorowych - GDPR.pl - ochrona danych osobowych w UE, RODO, IOD

21 lutego 2019 r. Sejm Rzeczypospolitej Polskiej uchwalił ustawę o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku
z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Powyższa tzw. ustawa sektorowa lub wprowadzająca została przesłana do Senatu RP, który ma miesiąc na jej rozpatrzenie po czym trafi ona do Prezydenta RP. W związku z tym, że przyjęcie ustawy jest bliskie, OMNI MODO rozpoczyna publikację na swoim portalu serii artkułów analizujących najważniejsze zmiany w przepisach. Niniejsze opracowanie stanowi wstęp do tej serii.

Czym jest tzw. ustawa wprowadzająca RODO?

RODO jako rozporządzenie Unii Europejskiej wiąże państwa członkowskie zarówno co do celów, które mają być osiągnięte jak i co do środków, którymi ów cele mają być zrealizowane. Ta ostatnia cecha odróżnia je od dyrektywy UE, która pozostawia państwom swobodę
w wyborze środków. Ponadto co do zasady rozporządzenie, inaczej niż dyrektywa, nie musi być implementowane aktem prawa krajowego, czyli w polskim przypadku ustawą. Skoro RODO wiąże państwa członkowskie w całości i jako rozporządzenie jest wystarczająco precyzyjne, aby móc być stosowanym bezpośrednio powstaje naturalnie pytanie dlaczego ww. aktowi będą towarzyszyć dwie ustawy krajowe, tj. ustawa wprowadzająca oraz ustawa
z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000)? Główną przyczyną takiego stanu rzeczy jest to, że ww. podział pomiędzy dyrektywą oraz rozporządzeniem jest pewnym modelem, który bardzo rzadko udaje się zastosować w praktyce. Ochrona danych osobowych jest jednym z obszarów prawa Unii Europejskiej,
w mniejszym lub większym zakresie dotyczącym większości aktów przyjętych przez tą organizację. Regulacja tak dużej sfery w jednym akcie nie jest możliwa, dlatego konieczne jest przyjęcie dodatkowego prawa. W tym kontekście należy pamiętać, że Rozporządzenie wprost pozostawia państwom członkowskim możliwość decyzji co do niektórych aspektów, np. co do tego w jakim zakresie administracyjne kary pieniężne będą miały zastosowanie do organów administracji publicznej czy zdecydowanie, że niektóre podmioty będą współadministratorami. Taka decyzja może być podjęta przez państwa jedynie w akcie rangi ustawowej. O ile pierwsza z ww. decyzji może być podjęta w ogólnej ustawie o ochronie danych osobowych, to trudno oczekiwać, że będą tam również zawarte rozstrzygnięcia sektorowe. Dlatego zaistniała konieczność przyjęcia odrębnej ustawy.

Zmieniamy, ale co i jak?

Ustawa sektorowa dotyczy blisko 160 innych aktów. Na naszym portalu zostanie omówionych blisko 40 z nich, tj. te które w opinii zespołu Omni Modo wprowadzają najbardziej doniosłe zmiany. Należą do nich m. in.: Kodeks pracy, Kodeks karny, Prawo bankowe, Ustawa
o świadczeniu usług drogą elektroniczną, Prawo telekomunikacyjne, Ustawa o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych, jak również szereg ustaw dotyczących prawa ubezpieczeniowego, sektora medycznego oraz szkolnictwa.

Jednocześnie mając na uwadze przekrojowy charakter niniejszego opracowania warto zwrócić uwagę na kilka elementów charakterystycznych dla nowej ustawy. Po pierwsze, w wielu przypadkach zmiany wprowadzone w określonych sektorach są do siebie bardzo podobne. Dotyczy to np. okresów przechowywania danych ustanowionych w Prawie o adwokaturze, ustawie o radcach prawnych czy prawie o notariacie. Także w wielu ustawach zawarto bardzo podobne przepisy dotyczące zastosowania określonych środków w celu ochrony danych osobowych. Po drugie, wiele rozwiązań wprowadzonych w ustawie może być pomocne we właściwej interpretacji przepisów. Ustawa sektorowa w kilku miejscach stanowi, że określone podmioty będą współ-administratorami danych. Naturalnie państwa członkowskie dysponują pewną autonomią w tym zakresie i do pewnego stopnia mogą „sztucznie” ustanowić współ-administratorów. Nie można również zastosować analogii prawniczej w przypadku gdy ustawa dotyczy określonych, wymienionych z nazwy podmiotów. Można jednak znaleźć informacje pozwalające na lepsze zrozumienie sposobu ujmowania pewnych pojęć przez ustawodawcę, co może być pomocne w podejmowaniu decyzji dotyczących innych stanów faktycznych. Równie ciekawa jest kwestia upoważnień do przetwarzania danych osobowych. Ustawa sektorowa
w wielu miejscach wskazuje, że istnieje potrzeba posiadania pisemnego upoważnienia do przetwarzania danych osobowych, zwłaszcza gdy jest mowa o szczególnych kategoriach danych. W związku z tym powstaje pytanie, czy oznacza to że nie zawsze pisemne upoważnienie jest zdaniem ustawodawcy wymagane?

Podsumowanie

Ustawa sektorowa jest aktem bardzo obszernym, liczy ponad 200 stron, a wraz z uzasadnieniem blisko 500. Naturalnie powstaje pytanie o wagę ww. zmian. Tak jak powiedziano powyżej, nie są one sobie równe, niektóre wprowadzają istotne nowości, inne są raczej kosmetyczne. Niniejszy artykuł nie jest miejscem na ich kompleksową ocenę, natomiast warto docenić pewne pozytywne aspekty, takie jak np. stwierdzenie zawarte w uzasadnieniu, zgodnie z którym nie trzeba zawierać u ustawie konkretnego katalogu danych, które mogą być przetwarzane, jeżeli
z zadania można w sposób precyzyjny i jednoznaczny wywieść konieczność przetwarzania określonych danych osobowych. Tego typu postanowienia pozwolą uniknąć kłopotu, który powstaje wtedy gdy w ustawie nie wspomniano o jakiejś kategorii, która w praktyce jest konieczna do osiągnięcia celu, a takie przypadki są niestety częste.

Poniżej odnośniki do cyklu poświęconego ustawie o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679.

Poniższa lista naszych publikacji będzie stale aktualizowana, stąd warto czasem tu zajrzeć w nieodległej przyszłości.