Kontrole i uprawnienia Prezesa UODO

Prezes Urzędu Ochrony Danych Osobowych jako polski organ nadzorczy nakłada na administratorów danych administracyjne kary pieniężne, które w indywidualnym przypadku mają być skuteczne, proporcjonalne i odstraszające, ale też są sygnałem dla innych podmiotów, jak ważna jest współpraca z UODO. Prezes UODO może kontrolować doraźnie różne podmioty, co do których otrzymał np. sygnał o stwierdzonych nieprawidłowościach przy przetwarzaniu danych. Kontrolę może wszcząć również w wyniku uzyskanego od administratora danych zgłoszenia naruszenia ochrony danych, w celu kontroli podjętych przez administratora działań np. w zakresie powiadomienia osób, których dane były przetwarzane i podjętych działań naprawczych.

Kompetencje Prezesa UODO

Do Prezesa UODO należy nie tylko monitorowanie przestrzegania przepisów unijnego rozporządzenia o ochronie danych (RODO), ale także kontrola przestrzegania innych, zarówno unijnych, jak i krajowych przepisów o ochronie danych, w tym przepisów polskiej ustawy o ochronie danych, jak również przepisów innych ustaw i rozporządzeń wykonawczych dotyczących ochrony danych osobowych.

Krajowa ustawa o ochronie danych osobowych wyróżnia trzy rodzaje kontroli, jaką może prowadzić Prezes Urzędu. Należą do nich kontrole:

• planowa - prowadzona zgodnie z zatwierdzonym przez Prezesa Urzędu planem kontroli,
• doraźna - na podstawie uzyskanych przez Prezesa Urzędu informacji,
• sprawowana w ramach monitorowania przestrzegania stosowania rozporządzenia 2016/679.

Obowiązek prowadzenia przez Prezesa Urzędu kontroli planowej i sporządzenie planu kontroli wynika więc wyraźnie z przepisów. Przy czym nie określają one szczegółowych wymogów w tym zakresie, pozostawiając organowi swobodę, gdy chodzi o ukształtowanie planu kontroli (kontrole planowane na 2023 r. - patrz ramka).

Natomiast jeśli chodzi o kontrolę doraźną, to może ona zostać podjęta pomimo tego, że nie była przewidziana w planie kontroli. Potrzeba jej przeprowadzenia może wynikać z informacji, jakie uzyskał organ nadzorczy o stwierdzonych nieprawidłowościach w zakresie przetwarzania danych. Takie informacje mogą pochodzić ze źródeł powszechnie dostępnych lub od osób zainteresowanych, które zwracają uwagę PUODO na pewne nieprawidłowości. Oczywiście najpopularniejszym wskazaniem do przeprowadzenia kontroli będzie skarga osoby, której dane dotyczą, na administratora przetwarzającego jej dane, w ocenie tej osoby w sposób nieprawidłowy.

Jak wygląda kontrola?

Kontrolę przeprowadza upoważniony przez Prezesa UODO pracownik Urzędu lub członek bądź pracownik organu nadzorczego państwa członkowskiego UE w przypadku, o którym mowa w art. 62 RODO, czyli dokonywania wspólnych operacji nadzorczych. Kontrolę przeprowadza się po okazaniu imiennego upoważnienia wraz z legitymacją służbową, a w przypadku kontrolującego z innego kraju członkowskiego - po okazaniu imiennego upoważnienia wraz z dokumentem potwierdzającym tożsamość. Prezes Urzędu może upoważnić do udziału w kontroli osobę posiadającą wiedzę specjalistyczną, jeżeli przeprowadzenie czynności kontrolnych wymaga takiej wiedzy.

Czynności kontrolnych dokonuje się w obecności kontrolowanego lub osoby przez niego upoważnionej, co ma na celu zapewnienie czynnego udziału tej osoby w czynnościach kontrolnych. Kontrola może odbyć się pod nieobecność kontrolowanego lub osoby przez niego upoważnionej, po okazaniu legitymacji służbowej i upoważnienia osobie czynnej w lokalu przedsiębiorstwa lub przywołanemu świadkowi, jeżeli jest funkcjonariuszem publicznym, niebędącemu jednak pracownikiem UODO ani osobą podlegającą wyłączeniu z udziału w kontroli.

Kontrolujący w ramach wykonywanych czynności kontrolnych ma prawo wstępu w godzinach od 6⁰⁰ do 22⁰⁰ na grunt oraz do budynków, lokali lub innych pomieszczeń. Ma również prawo wglądu do dokumentów i informacji mających bezpośredni związek z zakresem przedmiotowym kontroli. Może prowadzić oględziny miejsc, przedmiotów, urządzeń, nośników oraz systemów informatycznych lub teleinformatycznych służących do przetwarzania danych. Ma prawo żądać złożenia pisemnych lub ustnych wyjaśnień oraz przesłuchiwać w charakterze świadka osoby w zakresie niezbędnym do ustalenia stanu faktycznego oraz zlecać sporządzanie ekspertyz i opinii.

Kontrolowany zapewnia kontrolującemu oraz osobom upoważnionym do udziału w kontroli warunki i środki niezbędne do sprawnego przeprowadzenia kontroli, a w szczególności sporządza we własnym zakresie kopie lub wydruki dokumentów oraz informacji zgromadzonych na nośnikach, w urządzeniach lub systemach, tzn. z wykorzystaniem własnego sprzętu i na własny koszt. Kontrolowany ma obowiązek potwierdzić sporządzane kopie lub wydruki za zgodność z oryginałem. Kontrolę prowadzi się nie dłużej niż 30 dni od dnia okazania kontrolowanemu lub innej osobie wskazanej w przepisach imiennego upoważnienia do przeprowadzenia kontroli oraz legitymacji służbowej lub innego dokumentu potwierdzającego tożsamość.

Wysokie kary

RODO wprowadza wysokie kary za naruszenie jego przepisów. Art. 83 stanowi, że administracyjnej karze pieniężnej w wysokości do 10 mln euro, a w przypadku przedsiębiorstwa - w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, podlega brak wdrożenia przez administratora lub podmiot przetwarzający odpowiednich środków technicznych i organizacyjnych w celu ochrony przetwarzanych danych osobowych. Z kolei administracyjnej karze pieniężnej w wysokości do 20 mln euro, a w przypadku przedsiębiorstwa - w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, podlega m.in. naruszenie podstawowych zasad przetwarzania, w tym warunków uzyskania zgody od osób, których dane są przetwarzane.

Polska ustawa o ochronie danych osobowych w zakresie administracyjnych kar pieniężnych odsyła bezpośrednio do unijnego rozporządzenia, obniżając jedynie wysokość kar dla instytucji publicznych. Prezes UODO może nałożyć, w drodze decyzji, administracyjne kary pieniężne w wysokości do 100 tys. zł na jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1-12 i pkt 14 ustawy o finansach publicznych (Dz. U. z 2022 r. poz. 1634 ze zm.). Kary pieniężne w wysokości do 10 tys. zł Prezes UODO może nakładać na jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 13 ustawy o finansach publicznych, czyli na państwowe i samorządowe instytucje kultury.

Kary pieniężne nie są jedynymi środkami, które mogą być stosowane przez Prezesa UODO. RODO przewiduje również inne środki, które mogą być wykorzystywane zamiast kary pieniężnej lub razem z nią. Takimi środkami mogą być m.in. udzielenie upomnienia administratorowi lub podmiotowi przetwarzającemu czy nakazanie mu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy RODO.