SANKCJE KARNE W SYSTEMIE RODO dr Tomasz A.J. Banyś, prof. wizyt. WSH Wydział Studiów Strategicznych i Technicznych Wyższa Szkoła Handlowa w Radomiu
WYBRANE PROBLEMY SANKCJI KARNYCH W RODO
OCHRONA DZIECI (MOTYW 38 RODO) Szczególnej ochrony danych osobowych wymagają dzieci, gdyż mogą one być mniej świadome ryzyka, konsekwencji, zabezpieczeń i praw przysługujących im w związku z przetwarzaniem danych osobowych. Taka szczególna ochrona powinna mieć zastosowanie przede wszystkim do wykorzystywania danych osobowych dzieci do celów marketingowych lub do tworzenia profili osobowych lub profili użytkownika oraz do zbierania danych osobowych dotyczących dzieci, gdy korzystają one z usług skierowanych bezpośrednio do nich. Zgoda osoby sprawującej władzę rodzicielską lub opiekę nie powinna być konieczna w przypadku usług profilaktycznych lub doradczych oferowanych bezpośrednio dziecku.
UDOSTĘPNIANIE REJESTRÓW (MOTYW 82 RODO) Dla zachowania zgodności z niniejszym rozporządzeniem, administrator lub podmiot przetwarzający powinni prowadzić rejestry czynności przetwarzania, za które są odpowiedzialni. Każdy administrator i każdy podmiot przetwarzający powinni mieć obowiązek współpracować z organem nadzorczym i na jego żądanie udostępniać mu te rejestry w celu monitorowania tych operacji przetwarzania.
SANKCJE (MOTYW 129 RODO) Aby zapewnić spójne monitorowanie i egzekwowanie niniejszego rozporządzenia w całej Unii, organy nadzorcze powinny mieć w każdym państwie członkowskim te same zadania i faktyczne uprawnienia, w tym uprawnienia do prowadzenia postępowań wyjaśniających, naprawcze, uprawnienia do nakładania kar oraz do udzielania zezwoleń i doradcze, w szczególności w przypadku skarg osób fizycznych, i bez uszczerbku dla uprawnień organów prokuratorskich na mocy prawa państwa członkowskiego uprawnienia do zgłaszania naruszeń niniejszego rozporządzenia organom wymiaru sprawiedliwości oraz do udziału w postępowaniu sądowym.
SANKCJE (MOTYW 148 RODO) Aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące. Nakładanie sankcji, w tym administracyjnych kar pieniężnych, powinno podlegać odpowiednim zabezpieczeniom proceduralnym zgodnym z ogólnymi zasadami prawa Unii i z Kartą praw podstawowych, w tym skutecznej ochronie prawnej i prawu do rzetelnego procesu.
SANKCJE (MOTYW 149 RODO) Państwa członkowskie powinny mieć możliwość ustanawiania przepisów przewidujących sankcje karne za naruszenie niniejszego rozporządzenia, w tym za naruszenie krajowych przepisów przyjętych na jego mocy i w jego granicach. Sankcje karne mogą również obejmować pozbawienie zysków wynikających z naruszenia niniejszego rozporządzenia. Jednak nałożenie sankcji karnych za naruszenie takich krajowych przepisów oraz nałożenie sankcji administracyjnych nie powinno prowadzić do naruszenia zasady ne bis in idem, zgodnie z wykładnią Trybunału Sprawiedliwości.
SANKCJE (MOTYW 150 RODO) W celu wzmocnienia i zharmonizowania sankcji administracyjnych za naruszenie niniejszego rozporządzenia każdy organ nadzorczy powinien być uprawniony do nakładania administracyjnych kar pieniężnych. W niniejszym rozporządzeniu należy wymienić rodzaje naruszeń oraz wskazać górną granicę i kryteria ustalania związanych z nimi administracyjnych kar pieniężnych, które właściwy organ nadzorczy powinien określać indywidualnie dla każdego przypadku z uwzględnieniem wszystkich stosownych okoliczności danej sytuacji, z należytym uwzględnieniem w szczególności charakteru, wagi, czasu trwania naruszenia i jego konsekwencji, a także środków podjętych w celu zastosowania się do obowiązków wynikających z niniejszego rozporządzenia oraz w celu zapobieżenia konsekwencjom naruszenia lub w celu zminimalizowania tych konsekwencji ( )
SANKCJE (MOTYW 150 RODO) ( ) Jeżeli administracyjna kara pieniężna jest nakładana na osobę niebędącą przedsiębiorstwem, organ nadzorczy, ustalając właściwą wysokość kary pieniężnej, powinien wziąć pod uwagę ogólny poziom dochodów w danym państwie członkowskim oraz sytuację ekonomiczną tej osoby. Aby wspierać spójne stosowanie administracyjnych kar pieniężnych, można także użyć mechanizmu spójności. Państwa członkowskie powinny określić, czy i w jakim zakresie administracyjnym karom pieniężnym powinny podlegać organy publiczne. Nałożenie administracyjnej kary pieniężnej lub wydanie ostrzeżenia nie wpływa na stosowanie innych uprawnień organów nadzorczych ani innych sankcji na mocy niniejszego rozporządzenia.
SANKCJE (MOTYW 151 RODO) Systemy prawne Danii i Estonii nie przewidują administracyjnych kar pieniężnych określonych w niniejszym rozporządzeniu. Przepisy o administracyjnych karach pieniężnych można stosować tak, że w Danii właściwy sąd krajowy będzie nakładać grzywnę jako sankcję karną, a w Estonii organ nadzorczy będzie nakładać grzywnę w ramach postępowania o wykroczenie, pod warunkiem że takie stosowanie przepisów w tych państwach członkowskich będzie mieć skutek równoważny administracyjnej karze pieniężnej nakładanej przez organ nadzorczy. Dlatego właściwy sąd krajowy powinien brać pod uwagę zalecenie organu nadzorczego, który postuluje nałożenie grzywny. Nakładane grzywny muszą być w każdym przypadku skuteczne, proporcjonalne i odstraszające.
SANKCJE (MOTYW 152 RODO) W sytuacjach, w których niniejsze rozporządzenie nie harmonizuje sankcji administracyjnych, lub w razie potrzeby w innych przypadkach, na przykład w razie poważnego naruszenia niniejszego rozporządzenia, państwa członkowskie powinny wdrożyć system przewidujący skuteczne, proporcjonalne i odstraszające sankcje. Charakter takich sankcji (karny lub administracyjny) powinno określać prawo państwa członkowskiego.
SANKCJE (ART. 84 UST. 1 RODO) Państwa członkowskie przyjmują przepisy określające inne sankcje za naruszenia niniejszego rozporządzenia, w szczególności za naruszenia niepodlegające administracyjnym karom pieniężnym na mocy art. 83, oraz podejmują wszelkie środki niezbędne do ich wykonania. Sankcje te muszą być skuteczne, proporcjonalne i odstraszające.
REGULACJA DOTYCHCZASOWA
WIELKA BRYTANIA przepisy karne w Data Protection Act dominuje grzywna karane czyny: nieuprawnione przetwarzanie danych osobowych nieuprawnione uzyskanie danych osobowych od ADO nieuprawnione ujawnienie danych osobowych spowodowanie ujawnienia danych osobowych nieinformowanie przez ADO organu kontroli o zmianach niewykonanie poleceń organu kontroli
IRLANDIA przepisy karne, przewidujące grzywny do 100 000 EUR karane czyny: niezgłoszenie zbioru, ADO lub procesora organowi kontroli niewykonanie obowiązku zgłoszenia aktualizacji danych nieuprawnione ujawnienie danych
FRANCJA regulacja w kodeksie karnym najwyższy wymiar kar (kara pozbawienia wolności do lat 5 kumulatywnie z grzywną do 300 000 EUR) odpowiedzialność karna osób prawnych
FRANCJA penalizowane czyny: przetwarzanie danych osobowych bez wcześniejszego dopełnienia formalności (choćby nieumyślnie) przetwarzanie danych osobowych zawierających numer ewidencyjny osoby bez podstawy prawnej stosowanie oszukańczych, niesprawiedliwych bądź bezprawnych środków zbierania danych osobowych przetwarzanie danych osobowych mimo sprzeciwu podmiotu danych celem poszukiwania kontrahenta przechowywanie danych wrażliwych w systemie informatycznym bez podstawy prawnej przetwarzanie danych medycznych zebranych w ramach projektu naukowego bez oświeconej zgody pacjenta lub pomimo wyrażonego przezeń sprzeciwu retencja danych osobowych ponad dozwolony okres (poza danymi historycznymi, statystycznymi i naukowymi)
PORTUGALIA grzywny do 120 stawek dziennych, kara pozbawienia wolności do roku (w przypadku danych wrażliwych - podwójna wysokość kary) penalizowane czyny: niezgłoszenie przetwarzania danych organowi używanie danych osobowy niezgodnie z deklarowanym celem ich przetwarzania podżeganie lub popełnienie przestępstwa przy użyciu danych osobowych dokonanie nieautoryzowanej modyfikacji danych osobowych niewykonanie obowiązku notyfikującego uzyskanie danych osobowych bez wymaganej autoryzacji
WŁOCHY regulacja w kodeksie ochrony danych osobowych kary pozbawienia wolności do lat 3 penalizowane czyny: bezprawne przetwarzanie danych osobowych w celu osiągnięcia zysku lub wyrządzenia szkody składanie fałszywych zeznań/wyjaśnień przed organem kontroli niewdrożenie odpowiednich środków bezpieczeństwa niewykonanie poleceń organu kontroli bezprawne przetwarzanie danych osobowych pracowników oraz monitorowanie pracowników
NIEMCY regulacja karna w związkowym prawie ochrony danych co do zasady, sankcje do pozbawienia wolności do lat 2 (do lat 5 przy telekomach) wymóg umyślności ściganie wyłącznie na wniosek pokrzywdzonego czyny: bezprawne przetwarzanie danych osobowych automatyczne przetwarzanie danych osobowych bez podstawy prawnej podstępne/oszukańcze doprowadzenie do przekazania danych osobowych uzależnienie zawarcia umowy od przekazania danych osobowych bezprawne wykorzystanie danych osobowych do prowadzenia reklamy lub badań rynku niewypełnienie obowiązku notyfikacyjnego
HOLANDIA regulacja w holenderskiej uodo sankcje: grzywna, pozbawienie wolności do 6 miesięcy czyny: niewypełnienie obowiązku rejestracyjnego transfer danych osobowych do państwa trzeciego niezapewniającego należytej ochrony danych osobowych
BELGIA regulacja w prawie ochrony prywatności w odniesieniu do przetwarzania danych osobowych sankcje: najpierw grzywna (do 550 000 EUR), w przypadku recydywy także kara pozbawienia wolności do lat 2 czyny: niewdrożenie środków bezpieczeństwa niewykonanie wniosku o usunięcie/zmianę/zablokowanie dostępu do danych osobowych naruszenie ogólnych zasad ochrony danych osobowych przetwarzanie danych osobowych z naruszeniem prawa niewykonanie obowiązku informacyjnego niewykonanie polecenia organu kontroli transfer danych poza EOG z naruszeniem zasad tego transferu
WĘGRY regulacja w kk czyny zagrożone karą pozbawienia wolności do roku (dla większości typów rodzajowych - grzywna) czyny: przetwarzanie danych osobowych bez podstawy prawnej przetwarzanie danych osobowych w celu odmiennym od zadeklarowanego niezabezpieczenie danych osobowych w sposób należyty utrudnianie pracy organu nadzoru celowe udzielenie fałszywych informacji niezgłoszenie, niezarejestrowanie lub nieprzekazanie danych wymaganych przez prawo
PAŃSTWA SKANDYNAWSKIE NORWEGIA - kara pozbawienia wolności do lat 3 SZWECJA - kara pozbawienia wolności do lat 2 FINLANDIA - kara pozbawienia wolności do roku DANIA - kara pozbawienia wolności do 4 miesięcy
INNE PAŃSTWA EUROPEJSKIE AUSTRIA - grzywny i kara pozbawienia wolności do roku TURCJA - grzywny i kara pozbawienia wolności do lat 4,5
PAŃSTWA UE BEZ SANKCJI KARNYCH ZA NARUSZENIE OCHRONY DANYCH OSOBOWYCH ŁOTWA LITWA CZECHY SŁOWACJA RUMUNIA HISZPANIA BUŁGARIA MALTA
nieuprawnione przetwarzanie nieuprawnione pozyskanie nieuprawnione ujawnienie spowodowanie ujawnienia UK IRL FRA POR ITA GER HOL BEL HUN nieinformowanie organu niewykonanie poleceń organu nielegalne wykorzystanie niewłaściwe zabezpieczenie przekroczenie czasu retencji nielegalny transfer
nieuprawnione przetwarzanie nieuprawnione pozyskanie nieuprawnione ujawnienie spowodowanie ujawnienia UK IRL FRA POR ITA GER HOL BEL HUN nieinformowanie organu niewykonanie poleceń organu nielegalne wykorzystanie niewłaściwe zabezpieczenie przekroczenie czasu retencji nielegalny transfer
POLSKA Przed przyjęciem konkretnego rozwiązania, konieczne jest podejście bottom-up, czyli zbadanie struktury przestępczości.
ZAWIADOMIENIA KIEROWANE DO ORGANÓW ŚCIGANIA PRZEZ GIODO
POLSKA Przed przyjęciem konkretnego rozwiązania, konieczne jest podejście bottom-up, czyli zbadanie struktury przestępczości. Wśród zgłoszeń GIODO czyny z art. 49 ust. 1 uodo stanowiły 50% Czyn z art. 49 ust. 2 niemal nie występuje w praktyce Rozkład pozostałych typów dość równy
REKOMENDACJE przegląd dotychczasowych typów czynów: nieuprawnione przetwarzanie art. 49 nieuprawnione ujawnienie art. 51 nieinformowanie organu art. 53 niewykonanie poleceń organu -?? niewłaściwe zabezpieczenie danych art. 52
REKOMENDACJE utrzymanie przynajmniej części dotychczasowych typów czynów z jednoczesnym przeglądem konstrukcji znamion typów czynów przemyślenie koncepcji czynu z art. 49 ust. 2 uodo? art. 54 - przejście na tryb wnioskowy, a może nawet na żądanie (zmiana na wykroczenie zagrożone karą aresztu lub grzywny) rozważenie obniżenia sankcji pozostałych typów? ewentualne wprowadzenie nowych typów czynów (motywy 38, 82 RODO)?
?