Dostęp do informacji publicznej i ochrona danych osobowych Ćwiczenia. Dr Sylwia Kotecka-Kral

Transkrypt

1 Dostęp do informacji publicznej i ochrona danych osobowych Ćwiczenia Dr Sylwia Kotecka-Kral sylwia.kotecka@uwr.edu.pl

2 NIEZALEŻNOŚĆ ORGANU NADZORCZEGO

3 Niezależność organu nadzorczego RODO dokonało ograniczenia zasady autonomii instytucjonalnej państw członkowskich, wskazując podstawowe wymagania instytucjonalne dla zapewnienia niezależności organów nadzorczych właściwych dla ochrony danych osobowych. Ma to związek z potrzebą zapewnienia spójności stosowania unijnych przepisów o ochronie danych osobowych i zasadą efektywności prawa unijnego.

4 Niezależność w orzecznictwie TSUE TSUE interpretując wymóg niezależności organu nadzorczego w sprawach ochrony danych osobowych, wyrażony w dyrektywie 95/46/WE wskazał, że organ niezależny : 1. ma zapewnioną możliwość w pełni swobodnego działania, z wyłączeniem jakichkolwiek instrukcji czy nacisków o charakterze bezpośrednim, jak i pośrednim wyrok C-518/07 pkt 18 i pkt 30 wyrok C-614/10

5 Niezależność w orzecznictwie TSUE 2. jest wyłączony spod nadzoru państwowego, ponieważ taki nadzór mógłby powodować wpływ rządu państwowego na decyzje organu, a nawet ich uchylenie; rząd określonego państwa członkowskiego może być zainteresowany określonym przetwarzaniem, np. z powodu własnego udziału w ramach partnerstwa publiczno-prywatnego lub w ramach przetargów, a także jeśli takiemu rządowi potrzebny lub przydatny jest dostęp do określonych baz danych (np. dla celów fiskalnych czy represyjnych) oraz może mieć pokusę uprzywilejowania interesów ekonomicznych w stosowaniu przepisów o ochronie danych osobowych wyrok C-518/07, pkt 32 i pkt 37

6 Niezależność w orzecznictwie TSUE 3. korzysta z własnego personelu, nie z personelu innego organu administracji oraz nie musi raportować własnych kwestii zarządczych do innego organu wyrok C-518/07, pkt 61 i pkt jego kadencja nie może być skrócona poza przypadkami przewidzianymi w prawie unijnym, także w drodze zmiany ustroju wyrok C-288/12

7 Niezależność w art. 52 RODO Członkowie organu nadzorczego: są wolni od bezpośrednich czy pośrednich wpływów zewnętrznych i nie zwracają się do nikogo o instrukcje ani od nikogo ich nie przyjmują powstrzymują się od wszelkich czynności sprzecznych ze swoimi obowiązkami i podczas swojej kadencji nie podejmują żadnego zajęcia zarobkowego ani niezarobkowego sprzecznego z tymi obowiązkami mają zapewnione dostateczne zasoby kadrowe, techniczne, finansowe, pomieszczenia i infrastrukturę niezbędne do skutecznego wykonywania swoich zadań

8 Niezależność w art. 52 RODO Organ nadzorczy samodzielnie wybiera swój personel Kontrola finansowa organu ma nie podważać jego niezależności Organ dysponuje odrębnym budżetem rocznym, który może być częścią budżetu państwowego

9 EUROPEJSKA RADA OCHRONY DANYCH

10 Niezależny organ nadzorczy Europejską Radę Ochrony Danych ustanowiono ogólnym rozporządzeniem o ochronie danych (RODO). Ma ona siedzibę w Brukseli. Europejska Rada Ochrony Danych jest niezależnym organem europejskim, który działa na rzecz spójnego stosowania zasad ochrony danych w całej Unii Europejskiej oraz promuje współpracę pomiędzy organami ochrony danych UE. Europejska Rada Ochrony Danych składa się z przedstawicieli krajowych organów ochrony danych i Europejskiego Inspektora Ochrony Danych (EIOD). Organy nadzorcze państw EFTA należących do EOG są również członkami w odniesieniu do kwestii związanych z RODO, nie mają prawa głosu i są wybierane na przewodniczącego lub zastępców przewodniczącego.

11 Niezależny organ nadzorczy Komisja Europejska oraz - w odniesieniu do kwestii związanych z PKBR - Urząd Nadzoru EFTA mają prawo do uczestniczenia w działaniach i posiedzeniach Rady bez prawa głosu. Europejska Rada Ochrony Danych posiada sekretariat, którego obsługę zapewnia EIOD. Protokół ustaleń określa warunki współpracy pomiędzy Europejską Radą Ochrony Danych i EIOD.

12 Niezależny organ nadzorczy Europejska Rada Ochrony Danych ma na celu zapewnienie spójnego stosowania w Unii Europejskiej ogólnego rozporządzenia o ochronie danych i europejskiej dyrektywy w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar oraz w sprawie swobodnego przepływu takich danych. Może przyjmować ogólne wskazówki w celu wyjaśnienia europejskich przepisów w zakresie ochrony danych, przedstawiając zainteresowanym stronom spójną interpretację ich praw i obowiązków. Na mocy ogólnego rozporządzenia o ochronie danych została także uprawniona do podejmowania wiążących decyzji wobec krajowych organów nadzorczych, aby zapewnić spójne stosowanie przepisów. Działa zgodnie z regulaminem wewnętrznym i zasadami przewodnimi.

13 Zadania i obowiązki EROD Tworzenie ogólnych wskazówek (w tym wytycznych, zaleceń i najlepszych praktyk) w celu wyjaśnienia przepisów prawa. Doradzanie Komisji Europejskiej w kwestiach związanych z ochroną danych osobowych i nowych proponowanych przepisów prawa w Unii Europejskiej. Przyjmowanie spójnych ustaleń w transgranicznych sprawach dotyczących ochrony danych. Promowanie współpracy i skutecznej wymiany informacji oraz najlepszych praktyk pomiędzy krajowymi organami nadzorczymi. Sporządzanie rocznych sprawozdań ze swoich działań, które są publikowane i przedkładane Parlamentowi Europejskiemu, Radzie i Komisji.

14 Zasady przewodnie EROD Niezależność i bezstronność Dobra administracja, uczciwość i dobra praktyka administracyjna Kolegialność Współpraca Przejrzystość Efektywność i modernizacja Proaktywność Dodatkowe informacje znajdują się w regulaminie wewnętrznym Europejskiej Rady Ochrony Danych.

15 Kompetencje EROD Zamiast udzielania odpowiedzi na konkretne, indywidualne wnioski, Europejska Rada Ochrony Danych wydaje ogólne wytyczne. W dniu 25 maja 2018 r. Europejska Rada Ochrony Danych zatwierdziła wytyczne dotyczące RODO opracowane przez Grupę Roboczą Art. 29: Europejska Rada Ochrony Danych opracowuje również dodatkowe wytyczne, które są dostępne na stronie:

16 Kompetencje EROD Europejska Rada Ochrony Danych nie świadczy indywidualnych usług doradczych. Osobom prywatnym lub organizacjom, które mają pytania związane z przepisami w zakresie ochrony danych, zaleca się odwiedzenie strony internetowej organu nadzorczego w kraju zamieszkania lub w którym mają siedzibę (dla państw członkowskich UE:

17 KRAJOWY ORGAN NADZORCZY

18 Polska ustawa Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000) Prezes Urzędu Ochrony Danych Osobowych jest organem nadzorczym w rozumieniu rozporządzenia 2016/679 (art. 34 ust. 2) Prezesa Urzędu powołuje i odwołuje Sejm Rzeczypospolitej Polskiej za zgodą Senatu Rzeczypospolitej Polskiej.

19 Niezależność PUODO w polskiej ustawie PUODO podlega wyłącznie ustawie (art. 34 ust. 5) Zakaz zajmowania przez PUODO innego stanowiska niż naukowe, zakaz przynależności do partii politycznej, związku zawodowego lub sprawowania funkcji nie dającej się pogodzić z godnością urzędu (art. 37) Immunitet (art. 38) Samodzielne powoływanie zastępców (art. 36) Ograniczenia w odwołaniu PUODO (art. 34 ust. 9)

20 Kompetencje PUODO Założenia i projekty aktów prawnych dotyczące danych osobowych są przedstawiane do zaopiniowania Prezesowi Urzędu. Prezes Urzędu może kierować do organów państwowych, organów samorządu terytorialnego, państwowych i komunalnych jednostek organizacyjnych, podmiotów niepublicznych realizujących zadania publiczne, osób fizycznych i prawnych, jednostek organizacyjnych niebędących osobami prawnymi oraz innych podmiotów wystąpienia zmierzające do zapewnienia skutecznej ochrony danych osobowych. Podmiot, do którego zostało skierowane wystąpienie lub wniosek jest obowiązany ustosunkować się do tego wystąpienia lub wniosku na piśmie w terminie 30 dni od daty jego otrzymania. Prezes Urzędu może również występować do właściwych organów z wnioskami o podjęcie inicjatywy ustawodawczej albo o wydanie lub zmianę aktów prawnych w sprawach dotyczących ochrony danych osobowych.

21 Kompetencje PUODO Prezes Urzędu udostępnia na swojej stronie podmiotowej w Biuletynie Informacji Publicznej: 1) standardowe klauzule umowne, o których mowa w art. 28 ust. 8 rozporządzenia 2016/679; 2) zatwierdzone kodeksy postępowania, o których mowa w art. 40 rozporządzenia 2016/679, a także zmiany tych kodeksów; 3) przyjęte standardowe klauzule ochrony danych, o których mowa w art. 46 ust. 2 lit. d rozporządzenia 2016/679; 4) rekomendacje określające środki techniczne i organizacyjne stosowane w celu zapewnienia bezpieczeństwa przetwarzania danych osobowych.

22 Kompetencje PUODO Prezes Urzędu: 1) ogłasza w komunikacie wykaz rodzajów operacji przetwarzania danych osobowych wymagających oceny skutków przetwarzania dla ich ochrony, o którym mowa w art. 35 ust. 4 rozporządzenia 2016/679; 2) może ogłosić w komunikacie wykaz rodzajów operacji przetwarzania danych osobowych niewymagających oceny skutków przetwarzania dla ich ochrony, o którym mowa w art. 35 ust. 5 rozporządzenia 2016/679. Komunikaty ogłasza się w Dzienniku Urzędowym Rzeczypospolitej Polskiej "Monitor Polski".

23 Kompetencje PUODO Prezes Urzędu może prowadzić system teleinformatyczny umożliwiający administratorom dokonywanie zgłoszenia naruszenia ochrony danych osobowych, o którym mowa w art. 33 rozporządzenia 2016/679. Prezes Urzędu, w drodze decyzji: 1) zatwierdza wiążące reguły korporacyjne, o których mowa w art. 47 rozporządzenia 2016/679; 2) udziela zezwolenia, o którym mowa w art. 46 ust. 3 rozporządzenia 2016/679.

24 Kompetencje PUODO Administrator lub podmiot przetwarzający może wystąpić do Prezesa Urzędu z wnioskiem o przeprowadzenie uprzednich konsultacji, o którym mowa w art. 36 rozporządzenia 2016/ Do wniosku stosuje się odpowiednio przepis art. 63 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego. 3. Jeżeli wniosek nie spełnia wymogów określonych w art. 36 ust. 3 rozporządzenia 2016/679 oraz art. 63 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, Prezes Urzędu informuje o nieudzieleniu konsultacji, wskazując przyczyny ich nieudzielenia.

25 Kompetencje PUODO Jeżeli Prezes Urzędu, na podstawie posiadanych informacji, uzna, że doszło do naruszenia przepisów dotyczących przetwarzania danych osobowych, może żądać wszczęcia postępowania dyscyplinarnego lub innego przewidzianego prawem postępowania przeciwko osobom, które dopuściły się naruszeń, i poinformowania go, w określonym terminie, o wynikach tego postępowania i podjętych działaniach.

26 Kompetencje PUODO Prezes Urzędu w sprawach ochrony danych osobowych współpracuje z niezależnymi organami nadzorczymi powołanymi na podstawie art. 91 rozporządzenia 2016/ Prezes Urzędu może zawrzeć z organami, o których mowa w ust. 1, porozumienie o współpracy i wzajemnym przekazywaniu informacji.

27 Kompetencje PUODO Postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych jest prowadzone przez Prezesa Urzędu.

28 Rada do Spraw Ochrony Danych Osobowych Przy Prezesie Urzędu działa Rada do Spraw Ochrony Danych Osobowych, która jest organem opiniodawczo-doradczym Prezesa Urzędu. Do zadań Rady należy: 1) opiniowanie projektów dokumentów organów i instytucji Unii Europejskiej dotyczących spraw ochrony danych osobowych; 2) opiniowanie przekazanych przez Prezesa Urzędu projektów aktów prawnych i innych dokumentów dotyczących spraw ochrony danych osobowych; 3) opracowywanie propozycji kryteriów certyfikacji, o których mowa w art. 42 ust. 5 rozporządzenia 2016/679; 4) opracowywanie propozycji rekomendacji określających środki techniczne i organizacyjne stosowane w celu zapewnienia bezpieczeństwa przetwarzania danych osobowych; 5) inicjowanie działań w obszarze ochrony danych osobowych oraz przedstawianie Prezesowi Urzędu propozycji zmian prawa w tym obszarze; 6) wyrażanie opinii w sprawach przedstawionych Radzie przez Prezesa Urzędu; 7) wykonywanie innych zadań zleconych przez Prezesa Urzędu.

29 Rada do Spraw Ochrony Danych Osobowych Rada wyraża opinię w terminie 21 dni od dnia otrzymania projektów lub dokumentów. Opinie, protokoły posiedzeń oraz inne dokumenty Rady są udostępniane na stronie podmiotowej w Biuletynie Informacji Publicznej Prezesa Urzędu. Rada przedstawia Prezesowi Urzędu sprawozdanie z działalności za każdy rok kalendarzowy w terminie do dnia 31 marca następnego roku. Rada składa się z 8 członków. Kandydatów na członków Rady zgłasza: 1) Rada Ministrów; 2) Rzecznik Praw Obywatelskich; 3) izby gospodarcze; 4) 3 podmioty, o których mowa w art. 7 ust. 1 pkt 1, 2 i 4-6 ustawy z dnia 20 lipca 2018 r. - Prawo o szkolnictwie wyższym i nauce (Dz. U. poz. 1668); 5) fundacje i stowarzyszenia wpisane do Krajowego Rejestru Sądowego, których celem statutowym jest działalność na rzecz ochrony danych osobowych.

30 Dziękuję za uwagę!