Reflections on Selected Powers of the Personal Data Protection Authority Before and After May 25, 2018
The article addresses selected key issues concerning the powers of the authority for personal data protection (supervisory authority) in light of amendments introduced by way of the General Data Protection Regulation (GDPR). The analysis conducted concentrates mainly on the rules for handling complaints and administrative matters by this authority, with particular attention paid to issues connected with the imposition of fines and the conditioning of complaint consideration on the payment of stamp duty.
Keywords: personal data protection authority, violations of provisions on personal data protection, administrative proceedings, complaint, administrative fine, supervisory authority, stamp duty.
Słowa kluczowe: organ ochrony danych osobowych, naruszenia przepisów o ochronie danych osobowych, postępowanie administracyjne, skarga, administracyjna kara pieniężna, organ nadzorczy, opłata skarbowa.
- Przemiany organu ochrony danych osobowych
Po ponad 20 latach funkcjonowania z dniem 25 maja 2018 r. Generalny Inspektor Ochrony Danych Osobowych (GIODO) i jego zastępca stali się Prezesem Urzędu Ochrony Danych Osobowych i zastępcą Prezesa, a Biuro GIODO stało się Urzędem Ochrony Danych Osobowych (UODO), stosownie do art. 166 ustawy z 10 maja 2018 r. o ochronie danych osobowych[1] (zwanej dalej ustawą lub u.o.d.o.). Nowy UODO przejął pracowników Biura GIODO, mienie Skarbu Państwa będące we władaniu ww. Biura, jak też zobowiązania i wierzytelności Biura (art. 167–169 ustawy). Natomiast Prezes UODO prowadzi wszczęte i niezakończone przed 25 maja 2018 r. kontrole i postępowania na podstawie przepisów dotychczasowych oraz staje się stroną, uczestnikiem lub wierzycielem we wszystkich postępowaniach, w których uczestniczył GIODO (art. 159–164 i art. 171 ustawy).
Ustawa wprowadziła więc sukcesję generalną praw i obowiązków organu ochrony danych osobowych. Niemniej zadania i kompetencje tego organu uległy istotnej zmianie. O ile GIODO był jedynie krajowym organem do spraw ochrony danych osobowych (art. 8 ust. 1 ustawy z 27 sierpnia 1997 r. o ochronie danych osobowych[2]), o tyle Prezes UODO – organ właściwy w sprawie ochrony danych osobowych – stał się także organem nadzorczym w rozumieniu art. 51 RODO[3] – niezależnym unijnym organem publicznym (art. 34 ust. 1 i 2 u.o.d.o.). Jak zaznaczono w uzasadnieniu do projektu ustawy, Prezes UODO z prawnego punktu widzenia jest nowym organem państwowym, będącym następcą prawnym GIODO[4].
Obecnie większość zadań Prezesa UODO normuje wprost RODO, zaś u.o.d.o. zawiera tylko wycinkowe regulacje dotyczące postępowań prowadzonych przez Prezesa UODO oraz określa formy realizacji niektórych jego zadań (decyzje, komunikaty, publikacje w BIP). Kompetencje Prezesa UODO zostały znacząco rozszerzone, zwłaszcza przez przyznanie prawa do nakładania kar administracyjnych oraz zatwierdzania wiążących reguł korporacyjnych i udzielania zezwoleń, stosownie do art. 47 i art. 46 ust. 3 RODO.
GIODO corocznie był kontrolowany przez Najwyższą Izbę Kontroli, ale jedynie w zakresie wykonania budżetu. Kontrola działalności GIODO, a obecnie Prezesa UODO w pełnym zakresie, byłaby bowiem możliwa jedynie na zlecenie Sejmu[5]. Kontrole NIK nie dały więc obrazu realizacji zadań GIODO, jednak pokazały – w toku badania tzw. budżetu zadaniowego[6] – które z zadań sam ten organ uważał za istotne. Spośród trojga działań, objętych tym budżetem (rejestrowanie zbiorów danych osobowych, rozpatrywanie skarg i zapytań prawnych oraz kontrole jednostek przetwarzających dane osobowe), istotność zachowały dwa, dotyczące skarg i kontroli. RODO zniosło bowiem instytucję zbiorów danych.
Niniejsze opracowanie dotyczy jedynie wybranych kluczowych kwestii z zakresu załatwiania skarg i spraw administracyjnych w świetle zmian wprowadzonych przez RODO.
- Rozpatrywanie skarg przez GIODO
i wydawanie w ich wyniku decyzji
Rozpatrywanie skarg i postępowania administracyjne prowadzone w ich wyniku stanowiły istotną część zadań GIODO i tak też zapewne będzie w przypadku Prezesa UODO. Z danych zawartych w sprawozdaniach GIODO za lata 2015–2017[7] wynika, że liczba skarg rośnie, zaś sprawność i efektywność ich rozpatrywania wymaga poprawy.
Liczba skarga wzrosła z 2256 w 2015 r. do 2610 w 2016 r. i do 2950 w 2017 r. (razem o ok. 31%). Ze sprawozdań wynika, że coraz większą liczbę skarg zwracano z powodu braków formalnych, w tym nieuiszczenia opłaty skarbowej: 95 (4,2%[8]) w 2015 r., 389 (14,9%) w 2016 r. i 583 (19,8%) w 2017 r. Wzrost liczby decyzji wydanych w wyniku skarg (w I instancji) okazał się znacznie mniejszy: w 2015 r. wydano 646 decyzji (28,6%), w 2016 r. – 1008 (38,6%) i w 2017 r. – 1173 decyzje (39,7%). Natomiast zmalała liczba spraw, w których GIODO nakazał przywrócenie stanu zgodnego z prawem: w 2015 r. wydano 172 decyzje o tej treści (26,6% decyzji wydanych w I instancji), w 2016 r. – 157 decyzji (15,6%) i w 2017 r. – 160 (13,6%). Liczba decyzji wydanych w II instancji wzrastała proporcjonalnie do liczby decyzji wydanych w I instancji: ze 129 (20% ogólnej liczby decyzji w I instancji) w 2015 r. do 188 (18,7%) w 2016 r. i do 231 (19,7%) w 2017 r. Strony zaskarżyły do sądu administracyjnego 60 decyzji w 2016 r. (31,9%) i 62 decyzje w 2017 r. (26,9%). GIODO coraz częściej stwierdzał nieważność swoich własnych decyzji: w 2015 r. 2 decyzji, w 2016 r. 7 decyzji, a w 2017 r. – 16 decyzji.
W niektórych sprawach skargowych kierowano wystąpienia do organów administracji[9]: łącznie 80 w 2015 r., 109 w 2016 r. i 104 w 2017 r.
Malała natomiast liczba kontroli prowadzonych przez GIODO: ze 175 w 2015 r., do 147 w 2016 r. i do 145 w 2017 r. Dotyczyły one z reguły poprawności dokumentacji prowadzonej przez administratorów danych (polityki i instrukcje bezpieczeństwa, rejestry zbiorów danych, upoważnienia do przetwarzania danych), nie zaś skarg.
Na podstawie wyników kontroli i złożonych skarg GIODO kierował zawiadomienia o przestępstwach, ale było ich stosunkowo niewiele: 24 w 2015 r., 36 w 2016 r. i 31 w 2017 r. Prokuratury z reguły odmawiały wszczęcia postępowania lub je umarzały[10].
Dane te wskazują, że mniej niż połowa skarg stawała się przedmiotem rozpoznania GIODO: w 2015 r. było to 33%, a w latach 2016–2017 – 44%. Pozostałe skargi zwracano albo pozostawiano bez rozpoznania, na co wpływ miała błędna praktyka domagania się opłaty skarbowej od skargi, jak też zapewne słabość kadrowa Biura GIODO. Skargami zajmowało się 25 osób w 2016 r. i 29 osób w 2017 r., a więc na osobę przypadało rocznie ok. 100 skarg.
O opieszałym rozpatrywaniu spraw świadczy rosnąca liczba wyroków sądów administracyjnych stwierdzających przewlekłość lub bezczynność GIODO, a także blogi prowadzone w internecie[11]. Ze sprawozdań GIODO za lata 2015–2016 wynika m.in., że sądy administracyjne orzekły:
w 2015 r. – przewlekłość postępowania w 9 sprawach, w tym w 7 z rażącym naruszeniem prawa, nakładając razem pięć grzywien na łącznie 9 tys. zł, i bezczynność w 9 sprawach, w tym 7 z rażącym naruszeniem prawa, nakładając razem dwie grzywny na łącznie 3 tys. zł;
w 2016 r. – przewlekłość postępowania w 15 sprawach, w tym w 9 z rażącym naruszeniem prawa, nakładając razem siedem grzywien (kwot nie podano), i bezczynność w 19 sprawach, w tym w 12 z rażącym naruszeniem prawa, nakładając razem cztery grzywny (kwot nie podano)[12].
Sprawozdanie za 2017 r. nie zawiera danych o wyrokach sądów administracyjnych, ale nadal stwierdzają one przewlekłość i bezczynność w sprawach z udziałem GIODO[13].
Również NIK podczas kontroli budżetowej w GIODO przeprowadzonej w 2017 r. zwróciła uwagę na wzrost w 2016 r. wydatków z tytułu wymierzonych GIODO przez sądy administracyjne grzywien w związku z bezczynnością lub przewlekłością postępowań oraz na konieczność podjęcia działań, które zahamowałyby wzrost liczby przewlekle prowadzonych postępowań, skutkujących wymierzaniem grzywien. Wydatki te w 2016 r wyniosły 11,7 tys. zł, co w porównaniu z 2015 r. stanowiło wzrost o 33% (8,8 tys. zł). Grzywny w większości dotyczyły prowadzonych w Departamencie Orzecznictwa, Legislacji i Skarg postępowań w sprawie skarg. Przyczyną tego była w ocenie Departamentu zbyt mała liczba osób w nim zatrudnionych oraz zwiększająca się liczba spraw[14].
III. Różnice w postępowaniu administracyjnym
przed Prezesem UODO oraz GIODO
Prezes UODO, a poprzednio GIODO, stanowi centralny organ administracji publicznej, który – w określonych ustawowo sprawach – prowadzi postępowanie w trybie ustawy z 14 czerwca 1960 r. Kodeks postępowania administracyjnego[15] (k.p.a.).
Zgodnie z art. 22 dawnej u.o.d.o. postępowanie w sprawach nią uregulowanych prowadzone było według przepisów k.p.a., o ile przepisy ustawy nie stanowiły inaczej.
Zakres spraw powierzonych GIODO określał art. 12 (w siedmiu punktach), w tym m.in.: kontrolę zgodności przetwarzania danych z przepisami o ochronie danych osobowych (w trybie i na zasadach unormowanych art. 14–17) (pkt 1), wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych (pkt 2), zapewnienie wykonania przez zobowiązanych obowiązków o charakterze niepieniężnym wynikających z decyzji GIODO (pkt 3), prowadzenie rejestrów zbiorów danych oraz administratorów bezpieczeństwa informacji, a także udzielanie informacji o zarejestrowanych ww. zbiorach i administratorach (zadanie to, uprzednio istotne, straciło aktualność) (pkt 4), podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych (pkt 6) oraz udział w pracach legislacyjnych lub pracach instytucji międzynarodowych (pkt 5 i 7).
Przepisy k.p.a. stosowano do zadań określonych w pkt 2 i 4.
Jeśli na podstawie wyników kontroli inspektor (upoważniony pracownik Biura GIODO) stwierdził naruszenie przepisów o ochronie danych osobowych, to zgodnie z art. 17 ust. 1 występował do GIODO o zastosowanie środków z art. 18 dawnej u.o.d.o. Stosownie do art. 18 ust. 1 w przypadku naruszenia ww. przepisów GIODO z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazywał przywrócenie stanu zgodnego z prawem, a w szczególności: usunięcie uchybień (pkt 1); uzupełnienie, uaktualnienie, sprostowanie, usunięcie, udostępnienie lub nieudostępnienie danych osobowych, względnie wstrzymanie ich przekazywania do państwa trzeciego (pkt 2, 4 i 6) czy też zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe albo zabezpieczenie ich lub przekazanie innym podmiotom (pkt 3 i 5).
Przywołane art. 14–18 dawnej u.o.d.o. pozostawiono w mocy w zakresie przetwarzania danych osobowych w celu zwalczania przestępczości do czasu wejścia w życie przepisów wdrażających dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 z 27 kwietnia 2016 r.[16] (art. 175 u.o.d.o.). Ustawodawca przeoczył jednak, że ww. przepisy dawnej u.o.d.o. odnoszą się do nieistniejącego już GIODO i nie wskazał organu przejmującego jego kompetencje po 25 maja 2018 r. Zapewne miał to być Prezes UODO.
Przepisy art. 57 ust. 1 RODO przekazały Prezesowi UODO jako organowi nadzorczemu znacznie szerszy zakres spraw (pogrupowanych w 22 punktach), w ramach których przysługują mu liczne uprawnienia (razem 26), określone w art. 58 RODO: w zakresie postępowań (ust. 1), naprawcze (ust. 2) oraz w zakresie wydawania zezwoleń i doradcze (ust. 3). Zgodnie z art. 7 ust. 1 u.o.d.o. przepisy k.p.a. stosuje się do następujących spraw: certyfikacji (rozdz. 4 u.o.d.o.), zatwierdzania kodeksów postępowania w zakresie ochrony danych i reguł korporacyjnych oraz wydawania zezwoleń (rozdz. 5 i 6), postępowań w sprawie naruszeń przepisów o ochronie danych osobowych i administracyjnych kar pieniężnych (rozdz. 7 i 11).
Od decyzji GIODO służył, zgodnie z art. 21 dawnej u.o.d.o., wniosek o ponowne rozpatrzenie sprawy, a od decyzji w przedmiocie tego wniosku – skarga do sądu administracyjnego. Natomiast postępowanie przed Prezesem UODO jest jednoinstancyjne, stosownie do art. 7 ust. 2 u.o.d.o.
Wprowadzenie postępowania jednoinstancyjnego zostało wyraźnie dopuszczone w art. 15 ust. 1 k.p.a. (w brzmieniu obowiązującym od 1 czerwca 2017 r.). Rozwiązanie takie nie narusza art. 78 Konstytucji RP[17]. Powołany przepis zapewnia każdej ze stron prawo do zaskarżenia orzeczeń i decyzji wydanych w pierwszej instancji, a zarazem stanowi, że wyjątki od tej zasady oraz tryb zaskarżania określa ustawa.
Powołana zasada jest rozmaicie rozumiana. Przeważa pogląd, że Konstytucja nie wprowadza wymogu dwuinstancyjności postępowania administracyjnego; niemniej przez prawo do zaskarżenia należałoby rozumieć dwukrotne rozpoznanie danej sprawy, choćby przez jedną instancję (prawo do zaskarżania w ujęciu homogenicznym). Mniej przekonująca wydaje się propozycja hybrydowego ujęcia prawa do zaskarżania: organ administracyjny rozpoznaje sprawę jednokrotnie, zaś rozpoznający środek zaskarżenia sąd byłby pierwszą z dwóch instancji sądowych, stosownie do art. 176 ust. 1 Konstytucji RP. Nie znalazła ostatecznie akceptacji teza, że art. 78 Konstytucji wymaga postępowania administracyjnego, złożonego z instancji niższej i wyższej.
Początkowo Trybunał Konstytucyjny (TK) przyjmował, że art. 78 Konstytucji wprowadza model dwuinstancyjnego postępowania administracyjnego „w zasadzie dewolutywny” (np. wyrok z 15 maja 2000 r.[18]), ale później odstąpił od tego poglądu. W szczególności w wyroku z 1 grudnia 2008 r.[19] TK wskazał, że w art. 78 Konstytucji ustrojodawca posłużył się ogólnym pojęciem prawa do zaskarżenia, nie precyzując charakteru i środków prawnych urzeczywistniających to prawo. Pozwala to na objęcie tym terminem „rozmaitych, niekiedy specyficznych środków prawnych, których wspólną cechą jest zdolność do uruchomienia postępowania umożliwiającego weryfikację orzeczeń lub decyzji wydanych w I instancji”. Takie ujęcie zaskarżenia odpowiada instytucji odwołania administracyjnego, pojmowanej przez Komitet Ministrów Rady Europy[20] jako kontrola aktu administracyjnego uruchomiona w wyniku wniesienia odwołania do: 1) organu, który wydał kwestionowany akt, 2) organu wyższego stopnia w hierarchii administracyjnej, 3) innego organu, specjalnie wyznaczonego do tego zadania. Tym samym odwołanie może wiązać się z dewolucją kompetencji nie tylko w znaczeniu organizacyjnym, lecz również w znaczeniu personalnym. Taki trend samokontroli aktów organów administracyjnych wynika zarówno z postępującej decentralizacji administracji, jak i z dążenia do uproszczenia procesów administrowania[21]. Natomiast w wyroku z 6 grudnia 2011 r.[22] TK wskazał, że prawo do zaskarżania stanowi element sprawiedliwości proceduralnej, koniecznej w demokratycznym państwie prawnym. Sprawiedliwość ta wyklucza pozbawienie strony postępowania administracyjnego prawa do obiektywnego merytorycznego rozstrzygnięcia.
W rządowym uzasadnieniu do projektu u.o.d.o. (s. 26) wskazano, że „przewidziany… wyjątek od zasady dwuinstancyjności postępowania administracyjnego jest… konieczny w demokratycznym państwie dla zapewnienia wolności i praw osób. Jest to rozwiązanie adekwatne i konieczne dla osiągnięcia celu zamierzonego przez ustawodawcę, jakim jest skuteczna i udzielona we właściwym czasie ochrona prawa podstawowego – prawa do ochrony danych osobowych osoby fizycznej – oraz pozostaje w odpowiedniej proporcji do ograniczenia, jakim jest pozbawienie prawa do ponownego rozpatrzenia sprawy przez właściwy organ. Za wprowadzeniem jednoinstancyjności postępowania przemawia konieczność zapewnienia osobie, której prawa zostały naruszone, ostatecznego rozstrzygnięcia (ostatecznej decyzji administracyjnej), które będzie mogło być skutecznie i szybko egzekwowalne. Zatem ochrona danych osobowych osoby fizycznej wymaga, by zasadą była natychmiastowa wykonalność takich decyzji. Ochrona wartości, jaką są dane osobowe osoby fizycznej, wymaga natychmiastowego działania, inaczej często traci swój sens, gdyż z upływem czasu naruszenia mogą mieć miejsce na wielką skalę, a ich skutki nieodwracalny charakter”. Ponadto „w postępowaniu prowadzonym przez Prezesa Urzędu nie mamy do czynienia z odwołaniem składanym do organu wyższego stopnia, lecz z wnioskiem o ponowne rozpatrzenie sprawy, który rozpatrywany jest przez ten sam organ. Jak pokazują statystyki dotyczące decyzji wydawanych w postępowaniach w wyniku wniosku o ponowne rozpatrzenie sprawy, decyzje wydawane po ponownym rozpatrzeniu sprawy w zdecydowanej większości nie prowadzą do zmiany rozstrzygnięć wydawanych w pierwszej instancji przez organ właściwy w sprawie ochrony danych osobowych”. Argumenty te są zasadne jedynie w zakresie decyzji dotyczących ochrony praw osób, których dane dotyczą. W przypadku kar administracyjnych wydaje się, że ograniczenie prawa do zaskarżenia jest nadmierne.
Wypada zauważyć, że regulacja u.o.d.o. dotycząca wykonywania przez Prezesa UODO uprawnień wobec administratorów, określonych w art. 58 ust. 1 i 2 RODO (w zakresie prowadzonych postępowań oraz naprawczych), jest niekompletna i rodzi wątpliwości.
Co prawda u.o.d.o. wskazuje działania podejmowane przez Prezesa UODO w przypadku naruszenia przepisów o ochronie danych osobowych, przeważnie jednak nie określa ich relacji do uprawnień organu nadzorczego z art. 58 ust. 1 i 2 RODO. Zgodnie z ustawą Prezes UODO – jeśli na podstawie informacji zgromadzonych w postępowaniu kontrolnym (unormowanym w art. 78–89 u.o.d.o.) uzna, że mogło dojść do naruszeń przepisów o ochronie danych osobowych – zobowiązany jest wszcząć postępowanie określone w art. 60 (art. 90 u.o.d.o.), do którego stosuje się k.p.a. Jeśli zaś Prezes na podstawie posiadanych informacji uzna, że do takich naruszeń doszło, może żądać wszczęcia postępowania dyscyplinarnego lub innego przewidzianego prawem wobec osób, które się ich dopuściły (art. 58 u.o.d.o.). Nie jest jasne, dlaczego wszczęcie postępowania administracyjnego w sprawie naruszenia jest uzależnione od ustaleń kontroli, a żądanie wszczęcia postępowania przeciwko osobie już nie. Nie wskazano również skutków, jakie rodzi ww. żądanie. Wydaje się więc, że stanowi ono w istocie tylko zawiadomienie.
Ponadto u.o.d.o. nie określa formy, w jakiej Prezes UODO wykonuje uprawnienia w zakresie postępowania i nadzorcze, z wyjątkiem administracyjnej kary pieniężnej (decyzja, o której mowa w art. 72 i 74 u.o.d.o.) oraz ograniczenia przetwarzania danych osobowych (postanowienie określone w art. 70 u.o.d.o.). Chodzi tu m.in. o wydawanie ostrzeżeń, udzielanie upomnień, nakazanie określonych czynności (np. dostarczenie danych, spełnienie żądania osoby, której dane dotyczą, dostosowanie operacji przetwarzania do przepisów RODO, powiadomienie osoby, której dane dotyczą, o naruszeniu ochrony danych, sprostowanie lub usunięcie danych, zawieszenie ich przepływu), zakazanie przetwarzania danych, cofnięcie certyfikacji, zawiadomienie o podejrzeniu naruszenia danych, audyt ochrony danych.
Z art. 104 k.p.a. wynika, że organ załatwia sprawę w drodze decyzji administracyjnej, chyba że k.p.a. stanowi inaczej (u.o.d.o. określa sytuacje, kiedy wydaje się postanowienia). Niemniej brak wyraźnej regulacji może skutkować tym, że Prezes UODO będzie wykonywał swoje uprawnienia w różnych formach, nie tylko w formie decyzji, lecz również np. zwykłego pisma.
Zgodnie z art. 58 ust. 4 RODO wykonywanie uprawnień organu nadzorczego podlegać ma odpowiednim zabezpieczeniom, w tym prawu do skutecznego środka ochrony prawnej przed sądem i rzetelnego procesu.
U.o.d.o. jedynie w dwóch przypadkach wskazuje skargę do sądu administracyjnego jako środek zaskarżenia od orzeczeń Prezesa UODO: od decyzji o nałożeniu administracyjnej kary pieniężnej (art. 74; skarga wstrzymuje jej wykonanie) i od postanowienia zobowiązującego do ograniczenia przetwarzania danych (art. 70 ust. 3; skarga nie wstrzymuje jego wykonania). Niewątpliwie jednak w każdym przypadku takim środkiem będzie skarga do sądu administracyjnego (wnoszona za pośrednictwem organu), unormowana ustawą z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi[23], przysługująca każdemu, kto ma interes prawny (po wyczerpaniu środków zaskarżenia), oraz prokuratorowi, Rzecznikom Praw Obywatelskich i Praw Dziecka, a także innym podmiotom określonym w ustawie (art. 50–52). Organ (Prezes UODO) może uwzględnić skargę w całości, w terminie 30 dni od jej otrzymania, wydając nową decyzję; w przeciwnym razie przekazuje akta sprawy wraz z odpowiedzią na skargę sądowi (art. 54 p.p.s.a.)[24].
Jednym z najważniejszych uprawnień Prezesa UODO jest nakładanie administracyjnych kar pieniężnych za naruszenie przepisów o ochronie danych osobowych. Ogólne warunki ich nakładania określa art. 83 RODO. Wymaga on, aby kary te w każdym indywidualnym przypadku były skuteczne, proporcjonalne i odstraszające (ust. 1). W tym celu organ nadzorczy, wymierzając karę, w każdym takim przypadku zwraca należytą uwagę na (ust. 2):
charakter, wagę i czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody;
umyślny lub nieumyślny charakter naruszenia;
działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą;
stopień odpowiedzialności administratora/podmiotu przetwarzającego z uwzględnieniem środków technicznych i organizacyjnych przez nich wdrożonych;
wszelkie wcześniejsze naruszenia ze strony administratora/podmiotu przetwarzającego;
stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków;
kategorie danych osobowych, których dotyczyło naruszenie;
sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, w szczególności czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie;
przestrzeganie przez administratora/podmiot przetwarzający zastosowanych przez organ nadzorczy uprawnień naprawczych (środków, o których mowa w art. 58 ust. 2 RODO),
stosowanie zatwierdzonych kodeksów postępowania lub zatwierdzonych mechanizmów certyfikacji;
wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak osiągnięte bezpośrednio lub pośrednio w związku z naruszeniem korzyści finansowe lub uniknięte straty.
W zależności od rodzaju naruszonych obowiązków administracyjna kara pieniężna może wynieść do 10 000 000 lub 20 000 000 euro albo 2% lub 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego (art. 83 ust. 4 i 5 RODO); surowiej karane jest naruszenie podstawowych zasad przetwarzania i praw osób, których dane dotyczą. Kary administracyjne nakładane na podmioty publiczne określono w art. 102 u.o.d.o. na niższym poziomie: w przypadku jednostek sektora finansów publicznych[25], instytutów badawczych i Narodowego Banku Polskiego 100 000 euro, a w przypadku państwowych i samorządowych instytucji kultury 10 000 euro.
Wydaje się, że w sprawach nieuregulowanych należy stosować przepisy działu IVa k.p.a. o administracyjnych karach pieniężnych, w tym dotyczące ich przedawnienia (nie mogą być nałożone po pięciu latach od naruszenia prawa lub wystąpienia jego skutków ani egzekwowane po pięciu latach od dnia, w którym miały być wykonane – art. 189g) lub ulg w wykonaniu (art. 189k).
Wielość i stopień komplikacji przesłanek wymierzenia kary kontrastuje z art. 72 u.o.d.o. wymagającym jedynie, aby w uzasadnieniu decyzji o nałożeniu kary administracyjnej Prezes UODO wskazał przesłanki określone w art. 83 ust. 2 RODO, na których się oparł. Samo podanie tych przesłanek, nawet przy ujęciu w treści decyzji całości elementów wymaganych art. 107 § 3 k.p.a., tj. uzasadnienia faktycznego i prawnego, w szczególności zawierającego wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, a także przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, jak też wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa, może nie zapewnić należytego zabezpieczenia interesów podmiotu karanego. Bez dokładnego opisu sposobu uwzględnienia i zastosowania wszystkich przesłanek z art. 83 ust. 2 RODO uzasadnienie nie da bowiem wystarczającego obrazu sprawy. W szczególności nie wyjaśni ono, czy nie zaistniały przesłanki zastosowania – zamiast kary administracyjnej – upomnienia, zgodnie z motywem 148 i art. 58 ust. 2 lit. b RODO (jeśli naruszenie jest niewielkie, a kara stanowiłaby nieproporcjonalne obciążenie)[26]. Ponadto jednoinstancyjność postępowania administracyjnego uniemożliwia uzyskanie w jego toku korekty uzasadnienia.
Przyznane prawo do sądu nie równoważy w tej sytuacji braku dwukrotnego zbadania sprawy co do jej istoty. Powierzona sądom administracyjnym przez art. 184 Konstytucji kontrola działalności administracji polega bowiem jedynie na badaniu zgodności z prawem działania, bezczynności lub przewlekłości postępowania organu (art. 57 § 1 p.p.s.a.). Zgodnie zaś z art. 145 § 1 p.p.s.a. sąd uwzględnia skargę, jeśli stwierdzi naruszenie prawa, w tym:
uchyla zaskarżoną decyzję (postanowienie) w całości lub w części, jeżeli stwierdzi naruszenie prawa materialnego, które miało wpływ na wynik sprawy, naruszenie prawa dające podstawę do wznowienia postępowania administracyjnego lub inne naruszenie przepisów postępowania, jeśli mogło mieć istotny wpływ na wynik sprawy (pkt 1),
stwierdza nieważność decyzji (postanowienia) w całości lub w części lub ich wydanie z naruszeniem prawa, jeśli zachodzą przyczyny określone w k.p.a. lub w innych przepisach (pkt 2 i 3).
Zgodnie z orzecznictwem w pierwszej kolejności akt administracyjny „podlega badaniu z punktu widzenia istnienia wad skutkujących jego nieważnością, w dalszej kolejności wad postępowania uzasadniających wznowienie postępowania administracyjnego, następnie pozostałych wad postępowania z punktu widzenia możliwości ich istotnego wpływu na wynik postępowania, a wreszcie uchybień polegających na naruszeniu prawa materialnego mających wpływ na wynik sprawy. Stwierdzenie istnienia wad istotniejszych eliminuje potrzebę ustalania istnienia pozostałych wad. W świetle art. 134 § 1 p.p.s.a. sąd nie ma obowiązku, nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, do badania tych zarzutów i wniosków, które nie mają znaczenia dla oceny legalności zaskarżonego aktu”[27]. Należy wskazać, że te tzw. wady pozostałe (art. 145 § 1 pkt 1 lit. c p.p.s.a.) obejmują „wyłącznie przypadki, w których gdyby nie naruszono przepisów proceduralnych, to najprawdopodobniej zapadłaby decyzja o innej treści”. W tej kategorii „mieści się brak należytej staranności wykazanej przez organ administracji publicznej w prowadzeniu sprawy, a wyrażający się w rozstrzygnięciu o niej bez pełnej znajomości stanu faktycznego oraz materiału dowodowego występującego w sprawie. Podstawą orzekania przez sąd administracyjny jest co do zasady materiał dowodowy zgromadzony przez organ administracji publicznej w toku postępowania” (art. 133 § 1 p.p.s.a.)[28].
Sąd administracyjny nie bada więc istoty sprawy ani nie ustala ponownie stanu faktycznego. Sąd nie przejmuje sprawy do załatwienia, a jedynie sprawuje kontrolę działalności administracji publicznej pod kątem legalności. Poza tym sąd orzeka jedynie kasacyjnie, nie modyfikując pod względem merytorycznym orzeczeń administracyjnych[29].
Powstaje istotne ryzyko, że zawężona ze swej istoty kontrola sądu administracyjnego nad stosowaniem kar przez Prezesa UODO nie zapewni odpowiedniego zabezpieczenia proceduralnego ani prawa do skutecznego sądowego środka ochrony prawnej, wymaganego przez art. 83 ust. 8 RODO. Zaskarżenie kary administracyjnej jedynie w zakresie proceduralnej poprawności jej nałożenia nie daje możliwości sądowej weryfikacji merytorycznych podstaw jej zastosowania, a to rodzi znaczne wątpliwości co do zgodności z art. 31 ust. 3 Konstytucji. Wydaje się bowiem, że takie ograniczenie narusza istotę prawa do zaskarżenia. Ochrona wolności i praw podmiotów karanych przemawiałaby za przyznaniem im środków zaskarżenia co do istoty sprawy, a nie tylko co do poprawności proceduralnej.
Stroną postępowania w sprawie nałożenia kary jest tylko podmiot podlegający ukaraniu, którym zgodnie z art. 83 ust. 3 RODO jest administrator, tj. osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub z innymi ustala cele i sposoby przetwarzania danych lub podmiot przetwarzający, tj. ww. osoba/jednostka, która przetwarza dane w imieniu administratora (art. 4 ust. 7 i 8 RODO). Inne osoby, w tym np. składające skargi, nie będą stronami takiego postępowania. Wydaje się, że postępowanie to – ze względu na jego sankcyjny charakter i brak wyraźnego wskazania w RODO podmiotu, który mógłby w tej sprawie złożyć wniosek – może być wszczęte jedynie z urzędu.
- Wybrane aspekty prawne rozpatrywania skarg
przez Prezesa UODO oraz GIODO
Ani dawna, ani obecna u.o.d.o. nie normowały trybu i sposobu rozpatrywania skarg. Niemniej jednak zgodnie z art. 22 dawnej u.o.d.o. do skarg należało stosować k.p.a., a więc przepisy działu VIII.
Z dniem 25 maja 2018 r. materia skarg znalazła unormowanie w art. 57–58 i art. 77–78 RODO. Organy nadzorcze zobowiązano m.in. do rozpatrywania skarg osób, których dane dotyczą (a także organizacji lub zrzeszeń umocowanych przez te osoby, stosownie do art. 80 RODO), prowadzenia postępowań w przedmiocie tych skarg, informowania skarżących w rozsądnym terminie o postępach i wynikach tych postępowań oraz do ułatwiania wnoszenia skarg za pomocą np. gotowego formularza skargi przesyłanego elektronicznie (art. 57 ust. 1 lit f i ust. 2). Natomiast art. 77 RODO przyznaje każdej osobie, której dane dotyczą, prawo – bez uszczerbku dla innych środków administracyjnych lub ochrony prawnej przed sądem – do wniesienia skargi do organu nadzorczego, jeśli skarżący sądzi, że przetwarzanie danych go dotyczące narusza przepisy RODO. Środki odwoławcze normuje art. 78 ust. 1 i 2 RODO, który – bez uszczerbku dla innych administracyjnych lub pozasądowych środków ochrony prawnej – przyznaje prawo do skutecznego środka ochrony prawnej przed sądem: każdej osobie fizycznej lub prawnej przeciwko prawnie wiążącej decyzji organu nadzorczego jej dotyczącej oraz każdej osobie, której dane dotyczą, jeśli organ nadzorczy nie rozpatrzył jej skargi lub nie poinformował o efektach jej rozpatrywania w terminie trzech miesięcy; stanowi to wydłużenie miesięcznego terminu na załatwienie skargi, wynikającego z art. 237 par. 1 k.p.a. Uprawnienia organu nadzorczego, w tym przysługujące w ramach prowadzonych postępowań oraz naprawcze, określa art. 58 RODO.
Zarazem art. 57 ust. 4 RODO dał organowi nadzorczemu możliwość pobrania opłaty w rozsądnej wysokości wynikającej z kosztów administracyjnych lub odmowy podjęcia żądanych działań, jeśli żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne (np. przez swą powtarzalność); obowiązek wykazania tych okoliczności spoczywa na organie nadzorczym.
Ze względu na bezpośrednie stosowanie RODO skargi do Prezesa UODO dotyczące przetwarzania danych nie podlegają przepisom k.p.a. o skargach. Skargi takie mogą jednak zainicjować postępowania określone w art. 58 RODO, jak też w u.o.d.o., tj. w sprawie naruszenia przepisów o ochronie danych (rozdz. 7), prowadzone z zastosowaniem k.p.a. (art. 7 oraz 60 i n. u.o.d.o.), lub kontrolę, odrębnie uregulowaną w rozdz. 9 u.o.d.o. Wyniki tej kontroli, stosownie do art. 90, mogą obligować Prezesa UODO do wszczęcia postępowania w sprawie naruszeń.
Bezczynność Prezesa UODO w sprawach skargowych podlega zaskarżeniu do sądu. Zaskarżyć można nie tylko brak aktu lub czynności z zakresu administracji publicznej (np. decyzji) na podstawie art. 3 § 2 pkt 8 i 9 p.p.s.a., co było możliwe także przed 25 maja 2018 r., lecz także brak poinformowania o efektach rozpatrywania skargi. Co prawda przepisy p.p.s.a. nadal nie przewidują możliwości zaskarżenia do sądu sposobu rozpatrzenia (nierozpatrzenia) skargi[30], ale prawo do takiego zaskarżenia wynika bezpośrednio z art. 78 ust. 2 RODO. Wydaje się, że skargę w tej sprawie należy wnieść do sądu administracyjnego na podstawie jego ogólnej właściwości określonej w art. 184 Konstytucji i art. 3 § 1 p.p.s.a.
Pod rządami dawnej u.o.d.o. GIODO przyjął – dając temu wyraz w pouczeniach zamieszczanych na stronie internetowej www.giodo.gov.pl[31] – że w przypadku złożenia skargi (bez względu na jej formę) powstaje obowiązek uiszczenia opłaty skarbowej w kwocie 10 zł. Aktualna strona internetowa UODO (www.uodo.gov.pl) nie zawiera już takiego pouczenia. Zarazem na ww. stronie nietrafnie podano, że skargi rozpatruje się w trybie przepisów k.p.a.; w takim trybie Prezes UODO może obecnie rozpatrywać jedynie skargi w sprawach innych niż dotyczące danych osobowych. Pouczono również skarżących, że nie mogą oni żądać nałożenia administracyjnej kary pieniężnej na administratora w postępowaniu zainicjowanym skargą, gdyż decyzja w tej sprawie należy do wyłącznej kompetencji Prezesa UODO i nie może być realizowana na wniosek[32]. Nie zmienia to jednak faktu, że skarżący może wskazywać na potrzebę nałożenia kary, a Prezes UODO obowiązany jest rozpatrzeć taką skargę i odpowiedzieć na nią, nawet jeśli nie podejmie działań w celu nałożenia kary.
Odstąpienie od wymogu uiszczenia opłaty skarbowej od skargi zasługuje na aprobatę. Uzależnianie podjęcia działań od wniesienia ww. opłaty ograniczało w istocie prawo skarżących do ochrony ich danych. Ponadto obciążanie skarg niezależnie od ich adresata (GIODO, Prezes UODO, inny organ) opłatą skarbową nie znajduje wystarczającego uzasadnienia w świetle przepisów ustawy z 16 listopada 2006 r. o opłacie skarbowej[33] ani k.p.a. Wydaje się ponadto, że skargi dotyczące danych osobowych nie powinny być po 25 maja 2018 r. obejmowane innymi opłatami niż przewidziane przez RODO (art. 57 ust. 4).
Jako podstawę prawną opłaty skarbowej od skargi GIODO wskazywał art. 1 ust. 1 pkt 1 lit. a ustawy o opłacie skarbowej, przewidujący opłatę skarbową od dokonania czynności urzędowej w sprawach indywidualnych z zakresu administracji publicznej, na podstawie zgłoszenia lub na wniosek, i cz. I poz. 53 załącznika do ustawy, określający stawkę 10 zł opłaty od czynności urzędowej – decyzji innej niż wymieniona w ww. załączniku, do której mają zastosowanie przepisy k.p.a. Decyzje GIODO, a obecnie Prezesa UODO nie były i nie są wymienione w opisywanym załączniku.
Zarazem zgodnie z art. 261 k.p.a., jeśli strona nie wpłaciła należności tytułem opłat i kosztów postępowania, które zgodnie z przepisami powinny być uiszczone z góry, organ administracji publicznej prowadzący postępowanie wyznaczy jej termin do wniesienia tych należności, nie krótszy niż 7 dni i nie dłuższy niż 14 dni (§ 1). Jeśli w wyznaczonym terminie należności nie zostaną uiszczone, podanie podlega zwrotowi lub czynność uzależniona od opłaty zostanie zaniechana (§ 2). Na postanowienie w sprawie zwrotu podania służy zażalenie (§ 3). W określonych taksatywnie przypadkach organ powinien załatwić podanie mimo nieuiszczenia należności: 1) jeśli za niezwłocznym załatwieniem przemawiają względy społeczne lub ważny interes strony; 2) wniesienie podania stanowi czynność, dla której jest ustanowiony termin zawity, lub 3) podanie wniosła osoba zamieszkała za granicą (§ 4).
Zwrot skargi z powodu nieuiszczenia opłaty skarbowej był przedmiotem skarg do sądów administracyjnych, które jednak nie uchylały postanowień GIODO w tej sprawie[34]. Niemniej w wyroku z 21 kwietnia 2016 r. (I OSK 2245/14) NSA wskazał, że „nie można zarazem wykluczyć, że w okolicznościach konkretnej sprawy możliwe byłoby jej merytoryczne rozpatrzenie przez organ administracji pomimo nieuiszczenia opłaty skarbowej. Rozważania na ten temat ze względu na zasadę związania NSA granicami skargi kasacyjnej wykraczają jednak poza ramy niniejszej sprawy. W związku z tym jedynie na marginesie należy zaznaczyć, że organ mógł w niniejszej sprawie rozważyć zasadność jej rozstrzygnięcia pomimo nieuiszczenia opłaty skarbowej (art. 261 § 4 k.p.a.). Ponadto stwierdzając brak możliwości zwolnienia strony z uiszczenia należnej opłaty, organ administracji powinien zbadać możliwość nadania biegu sprawie na podstawie przepisów szczególnych, znajdujących w danym przypadku zastosowanie. Rozwiązanie takie przewiduje” m.in. art. 18 dawnej u.o.d.o. (obecnie art. 90 u.o.d.o.), który „uprawnia GIODO do podjęcia działania z urzędu, a więc niezależnie od wniosku strony. Pozwoliłoby to uniknąć obciążania sądów administracyjnych sprawami, których waga merytoryczna jest nieproporcjonalna w stosunku do zaangażowanych sił i środków”. NSA trafnie dostrzegł problem nieracjonalności postępowania GIODO[35], nie podniósł jednak kilku – moim zdaniem – istotnych elementów.
Po pierwsze opłata skarbowa nie jest pobierana od skargi lub wniosku, ale od czynności urzędowej (z góry, a więc przed jej podjęciem). Zgodnie zaś z art. 9 ust. 1 pkt 1 i ust. 2 ustawy o opłacie skarbowej opłata ta podlega zwrotowi (na wniosek), jeśli mimo jej zapłacenia nie dokonano czynności urzędowej. Powstaje pytanie, jak rozumieć niedokonanie czynności urzędowej w przypadku decyzji – czy chodzi tu o brak decyzji w ogóle (np. sprawa zakończyła się postanowieniem lub czynnością faktyczną), czy też o wydanie decyzji innej, niż oczekiwał wnioskodawca. Ratio legis przemawiałoby za tym, aby opłatą obciążać tylko tę stronę, która uzyskała decyzję, o którą wnosiła. Niemniej określone w załączniku zwolnienia obejmują jedynie decyzje o umorzeniu postępowania albo wydane w postępowaniu odwoławczym lub w trybie szczególnym; tym samym decyzja niezgodna (odmowna) z wnioskiem strony także podlega opłacie.
Po wtóre ewentualna decyzja o nakazaniu przywrócenia stanu zgodnego z prawem byłaby wydana nie w stosunku do skarżącego, tylko do podmiotu dopuszczającego się naruszeń. Skarżący mógłby stać się stroną postępowania prowadzonego przez Prezesa UODO/GIODO, jedynie gdyby miał interes prawny w uzyskaniu decyzji, zgodnie z art. 28 k.p.a. – np. zgłosił żądanie dotyczące przetwarzania swoich danych osobowych lub udostępnienia mu danych innej osoby (wówczas ta osoba również byłaby stroną). Opłaty można byłoby żądać tylko przy założeniu, że na wniosek skarżącego jako strony zostało wszczęte postępowanie administracyjne stosownie do art. 61 § 1 k.p.a.
Zgodnie zaś z art. 233 k.p.a. skarga w sprawie indywidualnej, która nie była i nie jest przedmiotem postępowania administracyjnego, powoduje jego wszczęcie, jeśli została złożona przez stronę. Jeśli skarga taka pochodzi od innej osoby, może spowodować wszczęcie postępowania administracyjnego z urzędu, chyba że przepisy wymagają do wszczęcia postępowania żądania strony. Otwarta pozostaje jednak sprawa zastosowania przepisów o opłacie skarbowej oraz art. 261 § 2 k.p.a. w razie zakwalifikowania skargi do Prezesa UODO/GIODO jako wniosku o wszczęcie postępowania w trybie art. 233 k.p.a.
Nawet przyjmując profiskalną wykładnię, że opłata dotyczy także decyzji wydanej na wniosek w sprawie, w której organ mógłby wydać decyzję z urzędu, to właściwą reakcją organu – określoną w art. 261 § 2 k.p.a. – nie powinien być zwrot podania, bo to nie ono podlega opłacie, ale zaniechanie czynności urzędowej uzależnionej od opłaty. Szkoda więc, że NSA nie wytknął GIODO mieszania tych dwóch pojęć. Zgodnie z art. 9 k.p.a. stronę powinno się należycie i wyczerpująco poinformować o okolicznościach faktycznych i prawnych, które mogą mieć wpływ na ustalenie jej praw i obowiązków, będących przedmiotem postępowania administracyjnego. Organ, w tym i Prezes UODO (dawniej GIODO), czuwając nad tym, aby strona nie poniosła szkody z powodu nieznajomości prawa, powinien udzielić jej niezbędnych wyjaśnień, w tym także wskazać, że skarga – stosownie do art. 233 k.p.a. – została potraktowana jako wniosek o wszczęcie postępowania jurysdykcyjnego.
O ile nie budzi wątpliwości zasadność uzależnienia od wniesienia opłaty wydania decyzji w sprawie, wymagającej wniosku strony, to inaczej jest w przypadku decyzji stwierdzającej naruszenie prawa przez inny podmiot (art. 18 dawnej u.o.d.o. i art. 58 ust. 2 i 4 RODO w związku z art. 60–62 u.o.d.o.). Wówczas uzależnienie wszczęcia postępowania i wydania decyzji od opłaty wnoszonej przez skarżącego wskazującego na naruszenie prawa koliduje, moim zdaniem, z zasadą praworządności obowiązującą w postępowaniu administracyjnym. Taka profiskalna praktyka narusza art. 7 k.p.a. wymagający, aby organ stał na straży praworządności i podejmował wszelkie czynności do załatwienia sprawy nie tylko na wniosek, ale i z urzędu (np. wszczęcie postępowania zgodnie z art. 61 § 1 i 2 k.p.a.), mając na względzie interes społeczny i słuszny interes obywateli. Wskazane jednak byłoby uściślenie w ustawie o opłacie skarbowej, że opłata dotyczy jedynie tych czynności urzędowych, które są dokonywane wyłącznie na wniosek strony.
Wykładnia historyczna wskazuje na zamiar ustawodawcy ograniczenia zakresu opłaty skarbowej. I tak art. 1 ust. 1 pkt 1 dawnej ustawy z 9 września 2000 r. o opłacie skarbowej[36] przewidywał opłatę w sprawach indywidualnych z zakresu administracji państwowej (od 2007 r. publicznej) w czterech przypadkach, w tym od podań (żądań, wniosków, odwołań, zażaleń) i załączników do podań (lit. a), zaś art. 1 ust. 1 pkt 1 obecnej ustawy o opłacie skarbowej nie obciąża już ww. podań opłatą. Nie należy więc zaliczać wszystkich tych podań, w tym skarg, do kategorii określonej w art. 1 ust. 1 pkt 1 lit a obecnej ustawy (art. 1 ust. 1 pkt 1 lit. b dawnej ustawy), tj. zgłoszenia lub wniosku, na podstawie którego dokonuje się czynności urzędowej obciążonej opłatą.
- Uwagi końcowe
Wydaje się, że postulowana przez GIODO i wprowadzona przez ustawodawcę jednoinstancyjność postępowania nie okaże się wystarczającym remedium na opieszałość i przewlekłość prowadzenia spraw. Konieczne raczej jest wzmocnienie kadrowe i organizacyjne UODO (zgodnie z motywem 120 RODO) zwłaszcza w związku ze znacznym zwiększeniem zadań i kompetencji, w tym w zakresie nakładania kar administracyjnych.
Zgłoszony przez GIODO projekt planu wydatków na 2018 r. wyniósł 48 984 tys. zł[37], czyli o 60% więcej niż wydatki 2017 r. (20 287 tys. zł). Jednak przyjęty ustawowo na 2018 rok poziom wydatków okazał się o ok. 17% niższy i wyniósł łącznie 40 645 zł, w tym: plan wydatków budżetu państwa w cz. 10 GIOD0 – 21 006 tys. zł [w tym miejscu wstawić przypis 39 w niezmienionym brzmieniu] oraz maksymalny limit wydatków budżetu państwa na wykonywanie zadań wynikających z u.o.d.o. – 16 639 tys. zł (art. 174 ust. 1 pkt 1 u.o.d.o.). Na kolejne lata limit ten jest o ok. 30% niższy, tj. 13 541 tys. zł w 2019 r. i po 13 860 tys. zł w latach 2020–2027.
Pożądany zarazem byłby powrót do idei postępowania dwuinstancyjnego (przynajmniej w sprawach kar administracyjnych) i do tworzenia struktur terenowych UODO (art. 13 ust. 1a dawnej u.o.d.o. przewidywał jednostki zamiejscowe Biura GIODO). Sprawności postępowania przysłużyłoby się zdekoncentrowanie uprawnień jurysdykcyjnych: placówki terenowe wydawałyby decyzje w I instancji z upoważnienia Prezesa UODO, a Prezes UODO załatwiałby wnioski o ponowne rozpatrzenie sprawy. Wypada zarazem zauważyć, że choć statut Biura GIODO z 10 października 2011 r. ustalił siedziby i właściwość dwóch jednostek zamiejscowych w Katowicach i Gdańsku (dla pięciu i trzech województw)[38], to z braku środków nigdy one nie powstały. Aktualny statut UODO z 25 maja 2018 r. nie przewiduje już tworzenia struktur terenowych[39].
Bibliografia
Adamiak B., Borkowski J., Kodeks postępowania administracyjnego. Komentarz, Warszawa 2017.
Bielak-Jomaa E., Góral U. (red.), Wdrożenie ogólnego rozporządzenia o ochronie danych osobowych. Aspekty proceduralne, Warszawa 2017.
Bielak-Jomaa E., Łubasz D. (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, Warszawa 2017.
Fischer B., Sakowska-Baryła M. (red. naukowi), Realizacja praw osób, których dane dotyczą, na podstawie rodo, Warszawa 2017.
Hausner R., M. Wierzbowski (red.), Kodeks postępowania administracyjnego. Komentarz, Warszawa 2018.
Kazek M., Opłata skarbowa. Komentarz, Warszawa 2017.
Kmieciak R., Instancyjność postępowania administracyjnego w świetle Konstytucji RP, „Państwo i Prawo” 5/2012.
Knysiak-Sudyka H., Romańska M., Postępowanie sądowoadministracyjne, Warszawa 2017.
Litwiński P. (red.), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, Warszawa 2017.
Litwiński P. (red.), Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2017.
Moll T., Konstytucyjne uprawnienie do wnoszenia skarg jako forma kontroli społecznej, „Przegląd Prawa Konstytucyjnego” 4 (16)/2013.
Piątek W., Zakres kognicji polskiego sądu administracyjnego, „Ruch Prawniczy, Ekonomiczny i Socjologiczny” 4/2009, r. LXXI.
[1] Dz.U., poz. 1000.
[2] T.j. Dz.U. z 2016 r., poz. 922 ze zm. Ustawa, zwana dalej dawną u.o.d.o., uchylona z dniem 25 maja 2018 r., z wyjątkiem art. 1, art. 2, art. 3 ust. 1, art. 4–7, art. 14–22, art. 23–28, art. 31 oraz rozdziałów 4, 5 i 7, które zachowują moc w odniesieniu do przetwarzania danych osobowych w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, prowadzenia postępowań w sprawach dotyczących tych czynów oraz wykonywania orzeczeń w nich wydanych, kar porządkowych i środków przymusu w zakresie określonym w przepisach stanowiących podstawę działania służb i organów uprawnionych do realizacji zadań w tym zakresie, w terminie do dnia wejścia w życie przepisów wdrażających dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającą decyzję ramową Rady 2008/977/WSiSW (Dz.Urz. UE L 119 z 4 maja 2016 r., s. 89).
[3] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 4 maja 2016 r., s. 1), bezpośrednio stosowane w krajach UE od 25 maja 2018 r.
[4] Strona 21 Uzasadnienia do projektu ustawy o ochronie danych osobowych (druk sejmowy nr 2410 z 5 kwietnia 2018 r.).
[5] Artykuł 4 ust. 2 ustawy z 23 grudnia 1994 r. o Najwyższej Izbie Kontroli (t.j. Dz.U. z 2017 r., poz. 524 ze zm.).
[6] Funkcja 16 „Sprawy obywatelskie” zadanie 6.4 „Ochrona praw obywatelskich, praw dziecka i praw pacjenta”, podzadanie 6.4.3. „Ochrona danych osobowych”, badane np. w toku kontroli P/18/001 (LPO.410.001.02.2018), P/17/001 (LPO.410.001.04.2017), P/16/001 (LWA.410.002.01.2016).
[7] Sprawozdania z działalności GIODO: za 2015 r. z 2 czerwca 2016 r. (druk sejmowy nr 582), za 2016 r. z 28 grudnia 2017 r. (druk sejmowy nr 2170) i za 2017 r. z 16 marca 2018 r. (druk sejmowy nr 2416).
[8] Ułamki dotyczące zwrotów skarg i decyzji wydanych w wyniku skarg zostały wyliczone w odniesieniu do liczby skarg, które wpłynęły w poszczególnych latach.
[9] Zgodnie z art. 19a dawnej u.o.d.o. GIODO mógł kierować wystąpienia do organów państwowych i samorządowych, państwowych i komunalnych jednostek organizacyjnych, podmiotów niepublicznych realizujących zadania publiczne, osób fizycznych i prawnych oraz innych jednostek organizacyjnych i podmiotów wystąpienia zmierzające do zapewnienia skutecznej ochrony danych osobowych, w związku z doskonaleniem ochrony ww. danych. Uprawnienie to zachował także Prezes UODO (art. 52 ust. 1 u.o.d.o.).
[10] Strona 180 Sprawozdania GIODO za 2016 r. Na s. 47 uzasadnienia projektu nowej u.o.d.o. wskazano, że opis czynów zabronionych był zbyt ogólny, przez co „prokuratorzy i sądy niechętnie sięgają do tych regulacji”.
[11] T. Izydorczyk, Niezwłocze załatwianie spraw przez GIODO, https://tizydorczyk.pl/index.php/artykuly/60-niezwlocznie-zalatwianie-spraw-przez-giodo, dostęp: 10 września 2018.
[12] Załącznik nr 3 do sprawozdania za 2015 r. i załącznik nr 4 do sprawozdania za 2016 r.
[13] Portal: https://orzeczenia.nsa.gov.pl/cbo/search, dostęp: 10 września 2018.
[14] Wystąpienie pokontrolne z 26 kwietnia 2017 r. P/17/001, LPO.410.001.04.2017, dostępne na: https://www.nik.gov.pl, dostęp: 10 września 2018.
[15] T.j. Dz.U. z 2017 r., poz. 1257 ze zm.
[16] Choć termin transpozycji dyrektywy minął już 6 maja 2018 r., projekt ustawy w tej sprawie (o ochronie danych osobowych w związku ze zwalczaniem i zapobieganiem przestępczości) jest dopiero uzgadniany przez rząd. Projekt ten (z 13 lipca 2018 r.) zakłada, że organem nadzorczym zostanie Prezes UODO. Dane z portalu: https://legislacja.rcl.gov.pl/docs, dostęp: 10 września 2018.
[17] Konstytucja Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz.U. nr 78, poz. 483 ze zm.).
[18] SK 29/99, OTK 2000 nr 4, poz. 110.
[19] P 57/07, OTK ZU nr 10/A/2008, poz. 178.
[20] W rekomendacji R(2001) z 5 listopada 2001 r. o alternatywnych środkach rozstrzygania sporów sądowych między organami administracji a stronami prywatnymi, s. 11.
[21] Zob. R. Kmieciak, Instancyjność postępowania administracyjnego w świetle Konstytucji RP, „Państwo i Prawo” nr 5/2012, s. 12.
[22] SK 3/11, 113/10/A/2011.
[23] T.j. Dz.U. z 2017 r., poz. 1369 ze zm. Ustawa zwana dalej p.p.s.a. (art. 3 § 2 pkt 1 i art. 50 § 1 i 2).
[24] Od 1 czerwca 2017 r., jeśli stronie przysługuje prawo zwrócenia się z wnioskiem o ponowne rozpatrzenie sprawy do organu, który wydał decyzję, może ona wnieść skargę na tę decyzję bez skorzystania z tego prawa (art. 52 § 3 p.p.s.a.). Jeśli jednak inna strona postępowania złoży wniosek o ponowne rozpatrzenie sprawy, to organ rozpatruje jako ww. wnioski także skargi wniesione do sądu (art. 54a § 1 i 2 p.p.s.a.).
[25] Określonych w art. 9 pkt 1–12 i 14 ustawy z 27 sierpnia 2009 r. o finansach publicznych (t.j. Dz.U. z 2017 r., poz. 2077 ze zm.).
[26] Nie ma tu więc zastosowania art. 189f k.p.a. przewidujący odstąpienie – w drodze decyzji – od nałożenia kary administracyjnej i poprzestanie na pouczeniu, jeśli waga naruszenia prawa jest znikoma a strona zaprzestała naruszeń lub za to samo zachowanie strona została już prawomocnie skazana lub ukarana przez inny organ.
[27] Wyrok WSA w Gdańsku z 11 kwietnia 2018 r., II SA/Gd 5/2018.
[28] Wyrok NSA z 10 kwietnia 2018 r., II OSK 2582/17.
[29] Zob. np. W. Piątek, Zakres kognicji polskiego sądu administracyjnego, „Ruch Prawniczy, Ekonomiczny i Socjologiczny” 4/2009, r. LXXI, s. 67–76.
[30] Zob. np. pismo Rzecznika Praw Obywatelskich z 22 listopada 2016 r. (V.510.68.2016.TS) do Senatu wskazujące na potrzebę zmiany prawa w tym zakresie (https://www.rpo.gov.pl/sites/default/files/V.510.68.2016W.docx%20wyst%C4%85pienie%20do%20Przewodnicz%C4%85cego%20Komisji%20Praw%20Cz%C5%82owieka%20Senatu%20RP.pdf).
[31] https://giodo.gov.pl/pl/586/2682 oraz inne odnośniki na ww. stronie.
[32] https://uodo.gov.pl/pl/83/154 i https://uodo.gov.pl/pl/83/156 (wpisy z 20 maja 2018 r.).
[33] T.j. Dz.U. z 2018 r., poz. 1044.
[34] Na przykład wyroki NSA z 21 kwietnia 2016 r. I OSK 2245/14 oraz WSA w Warszawie z 24 listopada 2015 r. II SA/Wa 193.15 (prawomocny) i z 19 października 2016 r. II SA/Wa 526/16 (nieprawomocny).
[35] Było to też przedmiotem interpelacji nr 1237 Pawła Skuteckiego z 21 lutego 2016 r., pytającego o podstawę prawną pobierania opłat od skarg składanych do GIODO oraz o prace prowadzone w celu zniesienia tej opłaty. Wskazał on, że do GIODO wpływa ok. 2 tys. skarg rocznie, co ma związek z licznymi akcjami edukacyjnymi, zaś 10 zł od skargi nie stanowi znaczącego punktu w budżecie GIODO (w istocie jest to budżet dzielnicy Śródmieście m.st. Warszawy). Na stronie internetowej Sejmu nie odnotowano treści udzielonej odpowiedzi.
[36] T.j. Dz.U. z 2004 r. nr 253, poz. 2532 ze zm. Ustawa uchylona z dniem 1 stycznia 2007 r.
[37] Załącznik nr 2 do projektu ustawy budżetowej na 2018 r., przekazanego Sejmowi przez Ministerstwo Finansów 26 września 2017 r.
[38] Załącznik do rozporządzenia Prezydenta RP z 10 października 2011 r. w sprawie nadania statutu Biura GIODO (Dz.U. nr 225, poz. 1250 ze zm.), które weszło w życie 20 października 2011 r. i utraciło moc 25 maja 2018 r.
[39] Załącznik do zarządzenia Nr 1/2018 Prezesa UODO z 25 maja 2018 r.