2 / Dane osobowe GIODO kontra Google

Transkrypt

1 2 / 2014 SPIS TREŚCI Dane osobowe GIODO kontra Google Prawo zamówień publicznych Wyrok Trybunału Konstytucyjnego spowoduje obniżenie opłaty od skargi do sądu na orzeczenie Krajowej Izby Odwoławczej Prawa konsumentów Kolejne środki ochronne = nowe obowiązki przedsiębiorców SSW wyróżnione w międzynarodowym rankingu Legal 500 Personal data Polish data protection authority vs. Google Public procurement - The Ruling of the Constitutional Tribunal will result in the decrease of the amount of the fee on the complaint to the National Appeals Chamber Consumer rights Further protective means = new obligations of entrepreneurs TABLE OF CONTENTS SSW recommended in the international ranking, Legal 500 DANE OSOBOWE Naczelny Sąd Administracyjny w wyroku z dnia 21 lutego 2014 r. (I OSK 2445/12) poparł stanowisko Generalnego Inspektora Danych Osobowych w sporze z Google Inc., który stwierdził, iż funkcję administratora bezpieczeństwa informacji (ABI) w spółce może pełnić konkretnie wskazana osoba fizyczna, nie zaś osoba prawna o wieloosobowej strukturze. GIODO w dniu 1 grudnia 2011 r. nakazał spółce Google usunięcie dokonanego przez nią uchybienia w procesie przetwarzania danych osobowych, to jest PERSONAL DATA The Supreme Administrative Court, in its judgement of 21st February 2014 (I OSK 2445/12), supported the position adopted by the Polish Data Protection Authority (DPA) in its decision issued towards Google Inc. The DPA had argued that only a natural person may be appointed to the function of information security administrator (i.e. the Polish equivalent to a data protection officer, DPO) in a company, and that such appointment may not include a multi-structured legal person. On December 2011 the DPA ordered Google to remedy infringement it had committed whilst processing personal data (i.e. to remedy its previous

2 wyznaczenie administratora bezpieczeństwa informacji, którego Google do tej pory nie miało. W ramach prowadzonej przez GIODO kontroli usługi Google Street View w zakresie przetwarzania danych osobowych, GIODO dopatrzył się naruszenia przez spółkę Google przepisu o wyznaczeniu ABI, którego Google wbrew ustawie nie wyznaczył. Zgodnie z ustawą o ochronie danych osobowych, administrator danych wyznacza administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony przetwarzanych danych osobowych, chyba że sam wykonuje te czynności. Według GIODO, tylko administrator danych będący osobą fizyczną, może być jednocześnie administratorem bezpieczeństwa informacji. W przypadku spółki, czyli osoby prawnej, powinna ona wyznaczyć na administratora bezpieczeństwa informacji osobę fizyczną. Google nie zgodził się z decyzją GIODO i wniósł o jej uchylenie, argumentując, iż z istoty czynności nadzoru nie wynika, aby takie czynności mogły być wykonywane tylko przez osobę fizyczną. Stanowiska Google nie przyjął jednak ani Wojewódzki Sąd Administracyjny, ani Naczelny Sąd Administracyjny, do którego Google złożył skargę kasacyjną. O ile w ustawie o ochronie danych osobowych zostały wskazane dwie opcje sprawowania nadzoru nad przestrzeganiem zasad ochrony danych osobowych poprzez wyznaczenie administratora bezpieczeństwa informacji albo poprzez samodzielne wykonywanie tej funkcji przez administratora danych, to WSA wskazał przy tym, iż nie powinno budzić wątpliwości, że w razie wieloosobowej struktury organizacyjnej administratora danych, musi on wyznaczyć konkretną osobę odpowiedzialną za nadzór, a więc nie może to być ktoś anonimowy. Taka interpretacja przede wszystkim jest oparta na założeniu, iż konieczna jest możliwość egzekwowania odpowiedzialności za naruszenie obowiązków nadzorczych, zwłaszcza że zgodnie z ustawą o ochronie danych osobowych może ono failure to appoint an information security administrator). Google had breached the Personal Data Protection Act (the Act) by having failed to appoint an information security administrator, which came to light during a DPA investigation into the processing of personal data within Google s Street View service. Pursuant to the Act, a data controller shall appoint an information security administrator to supervise compliance with the rules of personal data processing, unless such duties are performed by the data controller directly. In the DPA s opinion, only a data controller who is a natural person is capable of simultaneously being appointed as an information security administrator. As regards companies that are legal persons, they shall be required to appoint a natural person as the information security administrator. Google disagreed with the DPA s decision and filed an application for its reversal, arguing that the essence of ensuring compliance with the aforementioned rules does not demand that such actions may only be performed by a natural person. However, neither the Voivodship Administrative Court nor the Supreme Administrative Court accepted Google s position. Although the relevant statutory provision indicates two possible options for ensuring compliance with the rules of personal data processing (i.e. by appointing an information security administrator or by the data controller performing these duties independently), the Voivodship Administrative Court held that, without doubt, data controller in multistructured companies having legal personality are required to appoint a specific person who would be responsible for ensuring compliance with the statutory rules (supervise data protection compliance) in the function of the information security administrator. This interpretation was based primarily on the assumption that it is necessary to enable liability to be imposed upon those who breach such supervisory duties and that the Act stipulates that 2

3 stanowić tylko przestępstwo indywidualne. Jedynie w przypadku gdy administratorem danych i jednocześnie administratorem bezpieczeństwa informacji jest osoba fizyczna, wówczas nie ma wątpliwości co do ustalenia osoby odpowiedzialnej za dokonane naruszenia. NSA wskazał, że regułą jest, że osoby prawne działają przez swoje organy, dlatego też jeżeli osoba prawna jest administratorem danych, to jest zobowiązana do wyznaczenia administratora bezpieczeństwa informacji. Konstrukcja samodzielnego wykonywania funkcji administratora bezpieczeństwa informacji z przepisu ustawy o ochronie danych osobowych jest przewidziana dla osób fizycznych prowadzących działalność gospodarczą. Co więcej, administrator danych, który nie wyznaczył administratora bezpieczeństwa informacji, nie może twierdzić, iż wykonuje jego obowiązki z mocy prawa, ustawa nie wprowadza domniemań w tym zakresie. such failure can only lead to liability as an individual crime. Only when a data controller and information security administrator are the same natural person is it possible to conclude that no doubt exists as to the identity of the person responsible for any such breaches. The Supreme Administrative Court noted the rule that legal persons act via their constituent organs, with the result that where the data controller is a legal person is, it is obliged to appoint an information security administrator. The statutory conception of a DPO independently performing such duties is envisaged to apply to natural persons who carry out business activity as sole traders. Furthermore, a data controller who has failed to appoint a security information administrator is unable to claim that he is performing such duties by force of law. The Act does not create any presumptions in this regard. dr Joanna Tomaszewska Partner, Radca Prawny / Attorney at law Joanna.Tomaszewska@ssw.pl PRAWO ZAMÓWIEŃ PUBLICZNYCH W dniu 15 kwietnia Trybunał Konstytucyjny wydał wyrok, który ma fundamentalne znaczenie dla podmiotów ubiegających się o udzielenie zamówień publicznych. Od dnia publikacji wyroku w Dzienniku Ustaw zmniejszeniu ulegnie wysokość opłaty sądowej od skargi na orzeczenie Krajowej Izby Odwoławczej (która obecnie może wynosić nawet 5 milionów złotych). Środki publiczne wydatkowane na usługi, dostawy oraz roboty budowlane co do zasady stanowią zamówienia publiczne, których udzielanie powinno PUBLIC PROCUREMENT On 15 April, the Constitutional Tribunal issued the ruling that is of fundamental significance for entities competing for public contracts. Starting from the date of the ruling s publication in the Journal of Laws, the amount of the court fee on a complaint concerning the judgement of the National Appeals Chamber (which can currently amount even to PLN 5 million) shall be decreased. Public funds spent on the services, deliveries and construction works by principle constitute public contracts that should be awarded in accordance with 3

4 odbywać się zgodnie z ustawą Prawo zamówień publicznych (dalej jako PZP ). Jeśli przepisy PZP zostaną naruszone, wykonawca ubiegający się o udzielenie ma prawo wnieść odwołanie do Prezesa Krajowej Izby Odwoławczej. Postępowania odwoławcze toczące się przed Krajową Izbą Odwoławczą (dalej jako KIO ) są szybkie i jedynie sporadycznie przekraczają instruktywny termin 15 dni wskazany w PZP. Takie skonstruowanie systemu odwoławczego ma na celu zapewnienie efektywności postępowania o udzielenie zamówienia publicznego jako całości. KIO nie jest jednak sądem. Od orzeczenia KIO strona lub uczestnik postępowania może wnieść skargę do sądu, od której należy wnieść opłatę sądową. Zgodnie z aktualnie obowiązującą regulacją wynosi ona 5 % wartości przedmiotu zamówienia, jednak nie więcej niż złotych (z wyjątkiem skarg dotyczących czynności podejmowanych w postępowaniu o udzielenie zamówienia przed otwarciem ofert). Górna granica opłaty sądowej została zatem ustalona na bardzo wysokim poziomie. Przed nowelizacją PZP, która weszła w życie w 2009 r., opłata sądowa od skargi na orzeczenie KIO była stała i bez względu na wartość przedmiotu zamówienia wynosiła złotych. Konstytucja RP gwarantuje każdemu prawo do sądu. Korzystanie z prawa do sądu może oczywiście podlegać ograniczeniom. W sprawach cywilnych jednym z nich jest konieczność uiszczenia stosownych opłat, które muszą być poniesione w celu wszczęcia postępowania. W sprawach o prawa majątkowe co do zasady opłata od pozwu jest stosunkowa i wynosi 5% wartości przedmiotu sporu, przy zakreśleniu górnej granicy opłaty sądowej na poziomie zł. Jak zatem łatwo zauważyć, górna granica stosunkowej opłaty sądowej znacząco różni się pomiędzy skargą na orzeczenie KIO ( zł) a pozwem w sprawie cywilnej ( zł). Powyższe uregulowanie było przedmiotem skargi the provisions of the Public Procurement Act (hereinafter referred to as the PPA ). If these provisions are infringed, an economic operator competing for the relevant contract is entitled to appeal to the President of the National Appeals Chamber (hereinafter referred to as the NAC ). Proceedings before the NAC are quick and rarely exceed the statutory period of 15 days, as laid down in the PPA. Such construction of the appeals system is designed to ensure the effectiveness of the whole procedure for awarding public contracts. The NAC is not, however, a court of law. Either of the parties, or any other participant in the NAC proceedings, is entitled to bring an appeal against the NAC s judgment to the common courts and a court fee should be paid. Pursuant to the currently binding legal provisions, the fee is 5% of the value of the contract, provided that such fee shall not exceed PLN 5,000,000 (with the exception of appeals concerning activities undertaken in relation to a public contract prior to commencement of the offers procedure). The upper limit of the court fee was, therefore, set at a very high level. Prior to the amendment of the PPA, which entered into force in 2009, the applicable court fee when lodging an appeal against an NAC judgment was fixed, regardless of the value of the contract, at the level of... PLN 3,000. The Constitution guarantees everyone the right of access to a court. Enjoyment of this right may, of course, be subjected to certain limitations. In civil matters, one such limitation is the obligation to pay all applicable fees for initiating the relevant proceedings. In disputes involving property rights, as a general rule, the court fee is variable and is set at a level of 5% of the value of the dispute, provided that such fees shall not exceed PLN 100,000. Accordingly, a clear discrepancy exists between the applicable fees due in respect of appeals against NAC judgments (max. PLN 5,000,000) and those due in respect of other civil litigation claims (max. PLN 100,000). The above regulation was the subject of the 4

5 konstytucyjnej, która zainicjowała postępowanie zakończone wyrokiem wydanym przez Trybunał Konstytucyjny (dalej jako TK ) w dniu 15 kwietnia 2014 r. TK orzekł, że art. 34 ust. 2 ustawy o kosztach sądowych w sprawach cywilnych (dalej jako UKS ) jest niezgodny z art. 45 ust. 1 w zw. z art. 31 ust. 3, art. 77 ust. 2 i art. 78 Konstytucji RP, tj. że jest niezgodny z prawem do sądu. Wyrok zostanie w najbliższym czasie opublikowany w Dzienniku Ustaw i w tym dniu wejdzie w życie. Od dnia ogłoszenia wyroku przestanie obowiązywać w/w uregulowanie. Zastosowanie będzie miała norma wyrażona w art. 34 ust. 1 UKS, zgodnie z którą od skargi na orzeczenie KIO pobiera się opłatę stałą w wysokości pięciokrotności wpisu wniesionego od odwołania w sprawie, której dotyczy skarga. W konsekwencji maksymalna wysokość skargi w żadnym przypadku nie przekroczy zł, a w wielu postępowaniach będzie niższa. Jednocześnie TK nie zakwestionował samego mechanizmu obliczania opłaty sadowej w sposób stosunkowy. Dlatego jest możliwe, że w nadchodzących miesiącach Sejm przyjmie nowelizację UKS, w której zmodyfikuje stan prawny, który będzie obowiązywał w konsekwencji wejścia w życie wyroku TK z dnia 15 kwietnia 2014 r. constitutional appeal that initiated the proceedings ended with the ruling issued by the Constitutional Tribunal (hereinafter: CT ) on 15 April The CT decided that article 34 item 2 of the Act on Court Fees in civic cases (hereinafter: CFA [Court Fee Act]) is an infringement of article 45 item 1 in relation to article 31 item 3, article 77 item 2, and article 78 of the Constitution of Poland, i.e. that it infringes the right to court. The ruling shall be published in the Journal of Laws shortly and it shall come into force on the publication day. The above-mentioned regulations shall cease to be in force from the day the ruling is announced. The norm expressed in article 34 item 1 of the CFA shall apply according to which the fixed fee on the complaint concerning the NAC ruling is paid in the amount of five times the initiation fee on the appeal against the case to which the complaint related. In consequence, the maximum amount of the complaint shall in no even exceed PLN 100,000, and wit shall be lower in numerous cases. At the same time, the CT did not question the very mechanism of calculating the court fee in a relative manner. Thus, it is possible that in the following months, the Parliament shall pass the amendment of the CFA in which it shall modify the legal state which shall be inn force as a consequence of the CT ruling of 15 April Filip Balcerzak Associate, Abogado Filip.Balcerzak@ssw.pl PRAWA KONSUMENTÓW Do 13 czerwca 2014 roku polski ustawodawca powinien implementować dyrektywę Parlamentu Europejskiego i Rady 2011/83/UE w sprawie praw CONSUMER RIGHTS By 13th June 2014 the Polish legislature is required to have implemented Directive 2011/83/EU of the European Parliament and of the Council concerning 5

6 konsumentów. Ma to na celu zapewnienie większej ochrony konsumentów, jednolitej na terenie całej Unii Europejskiej, zwiększając tym samym obowiązki przedsiębiorców, w szczególności nakładając na nich szersze wymogi informacyjne wobec klientów. Zmiany dotkną w szczególności branżę e-commerce. Implementacja dyrektywy spowoduje pojawienie się w systemie prawnym nowej ustawy o prawach konsumenta oraz sporą zmianę przepisów kodeksu cywilnego, jednocześnie uchylając ustawy o ochronie niektórych praw konsumentów oraz o szczególnych warunkach sprzedaży konsumenckiej. Z punktu widzenia przedsiębiorców należy zmiany podzielić na dwie kategorie: nałożenia na nich nowych obowiązków, głównie w zakresie informacyjnym, rozszerzonych uprawnień konsumenta, które wpływają na sposób prowadzenia działalności przez przedsiębiorców. W przypadku umów zawieranych na odległość bądź poza lokalem obowiązki przedsiębiorcy, wcześniej zawarte w ustawie o ochronie niektórych praw konsumentów, zostały rozszerzone m.in. o informacje na temat: kosztów zwrotu rzeczy przez konsumenta oraz uzasadnionych kosztów poniesionych przez przedsiębiorcę w przypadku odstąpienia od umowy; kosztów dodatkowych np. przesyłka, opakowanie; przypadków braku prawa do odstąpienia od umowy; funkcjonalności treści cyfrowych, ich interakcji ze sprzętem komputerowym oraz technicznych środkach ochrony treści. Jeżeli umowa jest zawierana poza lokalem consumer rights. The Directive seeks to ensure greater consumer protection in a unified manner throughout the entire territory of the European Union, whilst simultaneously extending the scope of obligations imposed on entrepreneurs, in particular by requiring them to provide a wider scope of information to customers. These changes will have particular impact on the e-commerce sector. Implementation of the directive will result in the adoption of a new Consumer Protection Act in the Polish legal system and will also introduce certain significant amendments to the provisions of the Civil Code. Concurrently certain statutes are to be repealed, including the Protection of Certain Consumer Rights Act and the Specific Conditions of Consumer Sales Act. From an entrepreneurial perspective, these changes will be divided into two groups: those imposing new obligations on entrepreneurs as regards an extended scope of information which must be supplied to consumers, those extending consumer rights, which influence the manner of conducting business activity. As regards distance and off-premises contracts, the obligations of entrepreneurs (currently governed by the Protection of Certain Consumer Rights Act) are to be extended so as to create an obligation to supply consumers with information concerning inter alia: the costs of a consumer returning goods and any justified costs incurred by an entrepreneur in the event that a consumer withdraws from the contract; additional costs, e.g. shipment, packaging; situations in which a consumer is not entitled to withdraw from a contract; the functionality of digital content, their interactions with hardware and any technical methods for protecting their content. Where a contract has been concluded off-premises, 6

7 przedsiębiorca musi dostarczyć wszystkie informacje w formie pisemnej, chyba że konsument wyrazi zgodę na przyjęcie ich na innym trwałym nośniku. Przedsiębiorca będzie musiał również zastosować środki zapewniające, że konsument jest świadomy obowiązku zapłaty. Dostarczenie towaru powinno nastąpić niezwłocznie, czyli w ciągu 30 dni od zawarcia umowy. Z kolei konsumentom (nad definicją których debaty wciąż trwają) będzie przysługiwało prawo do odstąpienia od umowy albo żądania obniżenia ceny bez wcześniejszych wniosków o naprawę albo wymianę towaru. Przedsiębiorcy muszą się również przygotować na wydłużenie okresów związanych z możliwością odstąpienia przez konsumentów od umowy w przypadku zawarcia umowy na odległość lub poza lokalem będzie to 14 dni, a w przypadku braku poinformowania o możliwości odstąpienia prawo konsumenta może być zrealizowane w terminie 12 miesięcy zamiast dotychczasowych 3. Wydłuży się także dwukrotnie do 12 miesięcy okres domniemania istnienia wady w momencie wydania rzeczy. Ustawodawca przewidział karę grzywny (do zł) za niewypełnienie lub nierzetelne wypełnienie obowiązków informacyjnych. Ponadto, w przypadku niezawiadomienia konsumenta o kosztach odstąpienia od umowy ponosi je przedsiębiorca. Do wejścia ustawy w życie pozostały niecałe 2 miesiące, dlatego już teraz warto dostosować regulaminy i procedury do nowych wymagań. W SSW porad z zakresu praw konsumentów i obowiązków przedsiębiorców udzieli Państwu: an entrepreneur is required to provide all such information in writing, unless the consumer has consented to receive such information in another tangible format. An entrepreneur will be required to undertake measures to ensure that consumers are aware that placing an order entails the obligation to pay. Goods shall be delivered without delay, meaning no later than 30 days from the date on which the contract was concluded. Conversely, a consumer (NB. debate is ongoing as regards the precise definition of consumer ) will be entitled to withdrawal from a contract, or to demand a reduced price, without being required to have filed an earlier request for the repair or exchange of a good. Entrepreneurs should also prepare themselves for the introduction of lengthier periods during which a consumer will be entitled to withdraw from a contract as regards distance and off-premises contracts, this period will be 14 days whereas, if the consumer was not properly informed about their withdrawal right, this period will be extended to 12 months instead of the present 3 month period. The period of time during which the presumption of a defect existing will be extended twofold, up to 12 months. The Polish legislation stipulates a fine (up to PLN 5,000.00) for any entrepreneur which completely or unreasonably fails to comply with the aforementioned information obligations. Moreover, in the event of any failure to notify consumers of the costs that may be associated with their withdrawal from a contract, such costs will be incurred by the entrepreneur. The new Act will enter into force soon, so it is high time for businesses to begin to adjust their existing regulations and procedures to its new requirements. One of SSW s lawyers specializing in consumer rights and entrepreneurial obligations: Jakub Jędrzejewski Senior Associate, Radca Prawny / Attorney at law Jakub.Jedrzejewski@ssw.pl

8 Jak co roku Kancelaria została doceniona w międzynarodowym rankingu kancelarii prawnych Legal 500. W tegorocznym rankingu SSW została wyróżniona w pięciu kategoriach: Banking and finance Corporate and M&A Energy and natural resources (docenienie za doskonałą znajomość branży oraz specjalizację w prawie energetycznym i wydobywczym) Real estate and construction Tax (docenienie za imponującą wiedzę na temat zagadnień podatkowych) Wśród rekomendowanych prawników znaleźli się: Wojciech Szczepaniak, Piotr Spaczyński, Patrycja Goździowska, Akinkayode Robert Phillips, Bogdan Duda i Paweł Chyb. Szczegóły dostępne są tu. SSW WYRÓŻNIONE Like every year SSW recommended in the international law firm s ranking, Legal 500. This year SSW was awarded in five categories: Banking and finance Corporate and M&A Energy and natural resources ( praised for its excellent industry knowledge, and is a specialist in energy and mining law ) Real estate and construction Tax ( displays impressive knowledge of tax issues ) Among the recommended lawyers were: Wojciech Szczepaniak, Piotr Spaczyński, Patrycja Goździowska, Akinkayode Robert Phillips, Bogdan Duda and Paweł Chyb. Details are available here. RECOMMENDATION FOR SSW Zastrzeżenie Niniejsza publikacja ma na celu podkreślenie pewnych kwestii. Z założenia nie jest kompleksowa i nie jest poradą prawną. Aby zrezygnować z subskrypcji należy wysłać na adres maja.tobiasz@ssw.pl, upewniając się, że w polu tematu wiadomości e- mail umieszczony został wyraz "unsubscribe". Disclaimer This publication is intended merely to highlight certain issues. It is not intended to be comprehensive, nor to provide legal advice. If you wish to unsubscribe please send an to maja.tobiasz@ssw.pl. Please ensure that the subject field of your contains the word unsubscribe. 8