Naruszenie obowiązku współpracy z organem nadzorczym w sprawach z zakresu ochrony danych osobowych jako podstawa do nałożenia administracyjnej kary pieniężnej

• Autorzy: Joanna Łuczak-Tarka

Warianty tytułu

Lack of Cooperation with the Supervisory Authority as Basis for Imposing Administrative Fines

• Języki publikacji: PL

Abstrakty

Przedmiot badań: Niniejsze opracowanie poświęcone zostało analizie obowiązku prawnego współpracy podmiotów zobowiązanych do stosowania tzw. ogólnego rozporządzenia o ochronie danych osobowych (znanego szerzej jako RODO) z organem nadzorczym, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych, oraz konsekwencjom jego naruszenia. Przedmiotem swoich dociekań autorka artykułu uczyniła normy prawa ochrony danych osobowych oraz praktykę ich stosowania. Cel badawczy: Podstawowym celem niniejszego artykułu jest ustalenie i ocena czy rozwiązania prawne przyjęte w art. 31 RODO są właściwe i wystarczające z punktu widzenia zapewnienia sprawnej realizacji zadań powierzonych organom nadzorczym odpowiedzialnym za monitorowanie stosowania przepisów o ochronie danych osobowych. 1 Metoda badawcza: Podstawową, zastosowaną w przypadku niniejszego opracowania metodą badawczą jest analiza materiału normatywnego i poglądów piśmiennictwa. Ponadto, w oparciu o rozstrzygnięcia Prezesa Urzędu Ochrony Danych Osobowych analizie poddano stosowanie prawa ochrony danych osobowych we wskazanym powyżej zakresie. Wyniki: Obowiązek współpracy z organem nadzorczym, wyrażony wprost po raz pierwszy na gruncie przepisów tzw. ogólnego rozporządzenia o ochronie danych, jest ważnym instrumentem, zapewniającym niezakłóconą realizację kompetencji przyznanych organowi nadzorczemu. W tym kontekście jest on jednym z elementów składających się na fundament europejskiej reformy prawa ochrony danych osobowych, jakim jest wzmocnienie pozycji organu nadzorczego w relacji z administratorami, podmiotami przetwarzającymi - oraz gdy ma to zastosowanie - ich przedstawicielami. Wprowadzenie możliwości zastosowania sankcji finansowej jako konsekwencji naruszenia art. 31 RODO zapewnia możliwość urzeczywistnienia tego celu i pozwala na realne dyscyplinowanie podmiotów zobowiązanych do stosowania przepisów ogólnego rozporządzenia - zarówno w wymiarze indywidualno-, jak i ogólnoprewencyjnym, tj. zarówno w stosunku do samego podmiotu ukaranego, jak i do przyszłych adresatów żądań kierowanych przez organ. Jak pokazuje ponad 3-letnia praktyka stosowania przepisów ogólnego rozporządzenia, przyjęcie przez prawodawcę europejskiego takiego rozwiązania okazało się konieczne. Możliwość nałożenia administracyjnej kary pieniężnej, w przypadku naruszenia obowiązku współpracy z organem nadzorczym, może się okazać jednym z niewielu, a czasem wręcz jedynym narzędziem, po który organ będzie mógł sięgnąć, dążąc do niezakłóconej i terminowej realizacji powierzonych mu zadań, w tym przede wszystkim monitorowania i egzekwowania stosowania ogólnego rozporządzenia. Tym samym norma ta w sposób pośredni wpływa również na realizację praw osób, których dane dotyczą. Z drugiej strony, zastosowana na gruncie art. 31 RODO konstrukcja prawna, z którą wiąże się konieczność odwołania do innych przepisów ogólnego rozporządzenia określających kompetencje organu, chroni administratorów, podmioty przetwarzające i ich przedstawicieli przed jej ewentualnym nadużywaniem i ma istotny wymiar gwarancyjny.(abstrakt oryginalny)

EN

Background: The study deals with the analysis of the legal obligation of cooperation by subjects required to employ the norms of the GDPR with the supervisory authority, in case of Poland, the President of the Personal Data Protection Office, and the consequences of lack of such cooperation. The Author investigates the norms of the personal data protection law and their use in practice. Research purpose: The primary goal of this study is to establish whether the solutions adopted in Article 31 of the GDPR are enough when considering the mandate of supervisory authorities. Methods: The primary method used in this study has been the analysis of the normative material and scholarly review. Additionally, the decisions of the President of the Personal Data Protection Office have served as the basis for analysis of employment of GDPR relevant norms in this regard. Conclusions: The duty of the controller to cooperate with the supervisory authority, first stated in the GDPR, is an important instrument to ensure the execution of power granted to a supervisory authority. In that context it serves as one of the keystones of European personal data protection reform, as strengthening of the supervisory authority in relation to controllers, processors and - if applicable - their representatives. The introduction of administrative fines as a result of violating Article 31 ensures that this goal is met and allows for real disciplining of subjects required to employ the norms of the GDPR, both individually and generally. As demonstrated over the last three years of its use, the adoption of such solution by the European lawmakers has been necessary. The possibility of imposing administrative fines for lack of cooperation with the supervisory authority might be one of the few, and sometimes the only, tools that such authorities can employ to ensure the accomplishment of its mandate, especially in regard to monitoring and enforcing GDPR execution. Therefore, this norm indirectly affects the exercise of data subjects' rights. On the other hand, the legal construct of Article 31 requires the implication of other GDPR norms by the authority, which serves to protect them from abuse by the institution.(original abstract)

Słowa kluczowe

PL

Ochrona danych osobowych; Normy prawne; Kary umowne; Prawo

EN

Personal data protection; Legal standards; Contractual penalties; Law

• Czasopismo: Studia Prawno-Ekonomiczne
• Rocznik: 2021
• Tom: 121
• Strony: 105--124

Twórcy

autor

Joanna Łuczak-Tarka

• Uniwersytet Łódzki

Bibliografia

• Banyś T., Przepisy karne. Uwagi ogólne do art. 107-108, w: M. Gumularz, K. Kozieł, P. Kozik, Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2018, s. 469-482.
• Błachnio-Parzych A., Przepisy karne w ustawie z 10.05.2018 r. o ochronie danych osobowych, w: G. Sibiga (red.), Przepisy prawa uzupełniające rodo. Aktualne problemy prawnej ochrony danych osobowych 2018, Monitor Prawniczy 2018/22 - dodatek, s. 19-23.
• Czerniawski M., Kawecki M., Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2019.
• Grzelak A., Obowiązek współpracy administratora danych z organem nadzorczym w świetle przepisów rodo i dyrektywy 2016/680, w: T. Wyka, M.A. Mielczarek (red.), Administrator i inspektor ochrony danych osobowych. Pozycja prawna, Warszawa 2019, s. 45-58.
• Grzelak A., Rola organów nadzoru w systemie ochrony danych osobowych, w: T.A.J. Banyś (red.), Obowiązki i odpowiedzialność administratora danych osobowych w rodo, Wrocław 2020, s. 279-295.
• Kawecki M., Wybór rozporządzenia jako instrumentu prawnego unijnej reformy prawa ochrony danych osobowych oraz konsekwencje takiego rozwiązania, w: M. Kawecki, T. Osiej (red.), Ogólne rozporządzenie o ochronie danych osobowych. Wybrane zagadnienia, Warszawa 2017, s. 1-9.
• Kozik P., Zakres swobody regulacyjnej państw członkowskich przy wdrażaniu ogólnego rozporządzenia o ochronie danych osobowych do prawa krajowego, Europejski Przegląd Sejmowy 2017/5, s. 18-22.
• Łuczak J., Komentarz do art. 83 rodo, w: E. Bielak-Jomaa, D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, Warszawa 2017, s. 1054-1065.
• Łuczak-Tarka J., Komentarz do art. 108 u.o.d.o., w: D. Lubasz (red.), Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2019, s. 532-539.
• Łuczak-Tarka J., Odpowiedzialność karna, w: D. Lubasz (red.), Meritum. Ochrona Danych Osobowych, Warszawa 2020, s. 540-547.
• Łuczak-Tarka J., Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679. Administracyjne kary pieniężne, w: D. Lubasz (red.), Meritum. Ochrona Danych Osobowych, Warszawa 2020, s. 407-411.
• Sakowska-Baryła M. (red.), Ogólne rozporządzenie o ochronie danych osobowych. Komentarz, Warszawa 2018.
• Sibiga G., Dopuszczalny zakres polskich przepisów o ochronie danych osobowych po rozpoczęciu obowiązywania ogólnego rozporządzenia o ochronie danych - wybrane zagadnienia, w: G. Sibiga (red.), Ogólne rozporządzenie o ochronie danych. Aktualne problemy prawnej ochrony danych osobowych, Monitor Prawniczy 2016/20 - dodatek, s. 16-21.
• Wygoda K., Komentarz do art. 31 rodo, w: M. Sakowska-Baryła (red.), Ogólne rozporządzenie o ochronie danych osobowych. Komentarz, Warszawa 2018, s. 349-353.
• Decyzja Prezesa UODO z dnia 29 maja 2020 r., DKE.561.1.2020 (decyzja dostępna na stronie internetowej pod adresem: https://uodo.gov.pl/decyzje/DKE.561.1.2020).
• Decyzja Prezesa UODO z dnia 3 czerwca 2020 r., DKE.561.2.2020 (decyzja dostępna na stronie internetowej pod adresem: https://www.uodo.gov.pl/decyzje/DKE.561.2.2020).
• Decyzja Prezesa UODO z dnia 2 lipca 2020 r., DKE.561.3.2020 (decyzja dostępna na stronie internetowej pod adresem: https://uodo.gov.pl/decyzje/DKE.561.3.2020).
• Decyzja Prezesa UODO z dnia 5 stycznia 2021 r., DKE.561.16.2020 (decyzja dostępna na stronie internetowej pod adresem: https://uodo.gov.pl/decyzje/DKE.561.16.2020).
• Decyzja Prezesa UODO z dnia 19 marca 2021 r., DKE.561.25.2020 (decyzja dostępna na stronie internetowej pod adresem: https://www.uodo.gov.pl/decyzje/DKE.561.25.2020).
• Decyzja Prezesa UODO z dnia 19 marca 2021 r., DKE.561.22.2020 (decyzja dostępna na stronie internetowej pod adresem: https://uodo.gov.pl/decyzje/DKE.561.22.2020).
• Decyzja Prezesa UODO z dnia 15 kwietnia 2021 r., DKE.561.3.2021 (decyzja dostępna na stronie internetowej pod adresem: https://uodo.gov.pl/decyzje/DKE.561.3.2021).
• Decyzja Prezesa UODO z dnia 27 kwietnia 2021 r., DKE.561.23.2020 (decyzja dostępna na stronie internetowej pod adresem: https://uodo.gov.pl/decyzje/DKE.561.23.2020).
• Wyrok WSA w Gorzowie Wielkopolskim z dnia 18 października 2018 r., sygn. akt II SAB/Go 90/18, LEX nr 2576144.

Identyfikatory

DOI

10.26485/SPE/2021/121/6