Organ ochrony danych a Ty

Zgodnie z RODO, za egzekwowanie przepisów odpowiadają krajowe organy ochrony danych. Każdy kraj EOG posiada własny, niezależny organ ochrony danych, który nadzoruje stosowanie RODO, w tym rozpatrywanie skarg. W przypadku przetwarzania danych odbywającego się w więcej niż jednym państwie EOG, RODO zapewnia system współpracy między właściwymi organami ochrony danych, w ramach którego współpracują one w celu osiągnięcia konsensusu. Znajdź organ ochrony danych.

RODO zapewnia osobom fizycznym, które obawiają się, że doszło do naruszenia ich praw do ochrony danych określone prawa, w tym prawo do złożenia skargi do właściwego organu.

Uprawnienia organów ochrony danych

RODO znacznie rozszerzyło uprawnienia krajowych organów ochrony danych związane z egzekwowaniem przepisów. W art. 58 RODO określono uprawnienia każdego z tych organów krajowych, wyraźnie dzieląc je na trzy główne grupy:

• uprawnienia w zakresie prowadzonych postępowań;
• uprawnienia naprawcze;
• uprawnienia doradcze.

Uprawnienia w zakresie prowadzonych postępowań

Organy ochrony danych wykonują swoje uprawnienia w zakresie prowadzonych postępowań w celu ustalenia, czy doszło do naruszenia RODO, a także w celu określenia jego dokładnego zakresu i charakteru. Organy ochrony danych mogą między innymi:

• nakazać organizacjom dostarczenie wszelkich informacji związanych z prowadzonym postępowaniem;
• prowadzić postępowania w formie audytów ochrony danych i zawiadamiać organizacje o podejrzeniu naruszenia RODO.
• uzyskać dostęp do wszystkich danych osobowych będących w posiadaniu organizacji oraz do wszystkich informacji niezbędnych organowi do wykonywania jego zadań, w tym uzyskać dostęp do wszelkich pomieszczeń organizacji, a także do sprzętu i środków służących do przetwarzania danych, zgodnie z unijnym i krajowym prawem procesowym.
• dokonywać przeglądu certyfikacji wydanych na podstawie art. 42 ust. 7 RODO

Uprawnienia naprawcze

W przypadku stwierdzenia naruszenia przepisów RODO w wyniku prowadzonego postępowania lub uznania, że dana operacja przetwarzania niesie ze sobą ryzyko lub nie spełnia szczególnych wymogów, organy ochrony danych mają prawo wykonać co najmniej jedno ze swoich uprawnień naprawczych, na przykład:

• Ostrzeżenie lub zakaz przetwarzania: w przypadku istniejących ryzyk, organy ochrony danych mogą wydawać ostrzeżenia dla organizacji, aby zapobiec naruszaniu przepisów RODO przez ich operacje przetwarzania. Organy ochrony danych mogą również zarządzić tymczasowe lub ostateczne ograniczenie, w tym zakaz czynności przetwarzania prowadzonych przez organizacje, a także nakazać im zawiadomienie osób, których sprawa dotyczy o naruszeniach ochrony danych, które miały miejsce.
• Nakaz zapewnienia zgodności z przepisami: aby zapewnić zgodność z RODO lub w związku z rozpatrywaniem przypadków, w których niektóre kryteria lub wymogi nie są spełnione, organy ochrony danych są uprawnione do nakazania organizacjom zastosowania się do żądań osób fizycznych o skorzystanie z praw przysługujących im na mocy RODO. W stosownych przypadkach można nakazać organizacjom dostosowanie ich operacji przetwarzania do przepisów RODO w określony sposób i w określonym terminie.
• Zawieszenie przepływu danych lub cofnięcie certyfikacji: organy ochrony danych mogą ponadto wykonywać swoje uprawnienia do zawieszania wszelkich przepływów danych do odbiorców w państwach trzecich lub do organizacji międzynarodowych. Co więcej, mogą cofnąć certyfikację lub nakazać podmiotowi certyfikującemu cofnięcie wydanej certyfikacji zgodnie z art. 42 i 43 RODO. Jeżeli wymogi certyfikacyjne nie są spełnione lub przestały być spełniane, mogą nakazać podmiotowi certyfikującemu, aby nie wydawał certyfikacji.
• Upomnienia: w przypadku stwierdzonych naruszeń, organy ochrony danych mogą udzielać organizacjom upomnienia.
• Administracyjne kary pieniężne: Organy ochrony danych mogą również nakładać administracyjne kary pieniężne określone zgodnie z art. 83 RODO, dodatkowo do innych środków wymienionych powyżej lub zamiast nich. System kar administracyjnych wymaga indywidualnej oceny każdego naruszenia. W ocenie należy uwzględnić takie czynniki, jak charakter, waga i czas trwania naruszenia, jego umyślny lub nieumyślny charakter, wszelkie działania mające na celu ograniczenie szkód, które mogły zostać wdrożone, środki techniczne i organizacyjne (tj. środki bezpieczeństwa), które zostały wdrożone, oraz sposób, w jaki organ ochrony danych dowiedział się o danym przypadku.

Maksymalny poziom potencjalnej kary będzie zależał od rodzaju naruszenia:

• może wynieść maksymalnie 10 mln EUR lub 2 % całkowitego rocznego światowego obrotu w poprzednim roku obrotowym (na przykład w przypadku naruszenia zasady uwzględniania ochrony prywatności w fazie projektowania i domyślnej ochrony prywatności, nieprzestrzegania obowiązku zawarcia umowy o przetwarzanie danych lub nieprzeprowadzenia oceny skutków dla ochrony danych bądź braku wyznaczenia inspektora ochrony danych) na mocy art. 83 ust. 4 RODO; lub
• może osiągnąć maksymalnie 20 mln lub 4 % całkowitego rocznego światowego obrotu w poprzednim roku obrotowym (na przykład w przypadku naruszenia podstawowych zasad dotyczących przetwarzania, niezgodnego z prawem przetwarzania danych osobowych bez podstawy prawnej lub naruszenia praw osób, których dane dotyczą) zgodnie z art. 83 ust. 5 RODO. 

Więcej informacji na temat administracyjnych kar pieniężnych związanych z naruszeniami poszczególnych artykułów RODO można znaleźć w art. 83 RODO i wytycznych EROD w sprawie obliczania administracyjnych kar pieniężnych na podstawie RODO.

Uprawnienia doradcze

Każdy organ ochrony danych pełni na mocy RODO określoną rolę w zakresie udzielania zezwoleń i doradztwa, dzięki czemu może udzielać wsparcia organizacjom lub zezwalać na określone czynności przetwarzania. Oto kilka przykładów:

• Uprzednie konsultacje: udziela porad administratorom danych zgodnie z procedurą uprzednich konsultacji na podstawie art. 36 RODO.
• Opinie na temat działalności legislacyjnej: wydaje, z własnej inicjatywy lub na wniosek, opinie przeznaczone dla parlamentu narodowego, rządu lub - zgodnie z prawem krajowym - innych instytucji i organów, a także ogółu społeczeństwa we wszelkich sprawach związanych z ochroną danych osobowych.
• Kodeksy postępowania i certyfikacja: zatwierdza projekty kodeksów postępowania, akredytuje podmioty certyfikujące lub wydaje certyfikacje oraz zatwierdza kryteria certyfikacji.

Wykonywanie wyżej wymienionych uprawnień organów ochrony danych podlega odpowiednim zabezpieczeniom,  tym prawu do skutecznego środka ochrony prawnej przed sądem i rzetelnego procesu, określonym w prawie Unii i prawie państwa członkowskiego zgodnie z Kartą praw podstawowych. Każdy organ ochrony danych jest uprawniony do wniesienia do organów wymiaru sprawiedliwości sprawy dotyczącej naruszenia RODO oraz, w stosownych przypadkach, do wszczęcia lub do uczestniczenia w inny sposób w postępowaniu sądowym w celu wyegzekwowania stosowania przepisów RODO. Organom ochrony danych mogą też zostać przyznane dodatkowe uprawnienia na mocy ich prawa krajowego.

W praktyce

• Oznacza to, że jeżeli organizacja posiada na przykład jednostki organizacyjne w Niemczech i Chorwacji, a przetwarzanie danych osobowych odbywa się w kontekście ich działalności, to takie przetwarzane będzie przetwarzaniem transgranicznym. 
• Alternatywnie, organizacja może posiadać jednostkę organizacyjną tylko w Niemczech. Jeżeli jednak jej działalność związana z przetwarzaniem ma znaczny wpływ – lub może mieć znaczny wpływ – na osoby fizyczne w Niemczech i Chorwacji, to również będziemy mieli do czynienia z przetwarzaniem transgranicznym.

Zrozumienie pojęcia „znacznego wpływu”       

Fakt, że dana organizacja przetwarza w kilku państwach EOG pewną ilość – nawet jeśli jest ona duża – danych osobowych osób fizycznych, niekoniecznie oznacza, że takie przetwarzanie ma lub może wywierać znaczny wpływ. Przetwarzanie, które nie wywołuje żadnych lub wywołuje niewielkie skutki nie stanowi przetwarzania transgranicznego, bez względu na to, na ile osób fizycznych ma ono wpływ.

Organy ochrony danych będą dokonywały interpretacji „znacznego wpływu” osobno dla każdego przypadku. Uwzględnią one kontekst przetwarzania, rodzaj danych, cel przetwarzania oraz wezmą pod uwagę to, czy przetwarzanie:

• powoduje lub może powodować szkody, straty bądź niepokój u osób fizycznych;
• ma lub może mieć rzeczywisty wpływ na ograniczenie praw osób fizycznych lub na brak możliwości wykorzystania przez nich pojawiających się szans;
• wpływa lub może wpływać na zdrowie, dobrostan lub spokój ducha osób fizycznych;
• wpływa lub może wpływać na sytuację finansową bądź ekonomiczną osób fizycznych;
• sprawia, że osoby fizyczne są narażone na dyskryminację lub niesprawiedliwe traktowanie;
• obejmuje analizę szczególnych kategorii danych osobowych lub innych danych inwazyjnych, w szczególności danych osobowych dzieci;
• powoduje lub może powodować istotną zmianę zachowania danej osoby fizycznej;
• powoduje mało prawdopodobne, nieprzewidziane lub niepożądane konsekwencje dla osób fizycznych;
• powoduje zakłopotanie lub inne negatywne skutki, w tym utratę reputacji; 
• lub wiąże się z przetwarzaniem szerokiego zakresu danych osobowych.

Wiodący organ ochrony danych

Mówiąc wprost, „wiodącym organem ochrony danych” jest organ ochrony danych, który ponosi główną odpowiedzialność za działania związane z transgranicznym przetwarzaniem danych - na przykład w sytuacji, w której osoba fizyczna składa skargę dotyczącą przetwarzania jej danych osobowych. Wiodący organ ochrony danych będzie koordynował wszelkie postępowania i współpracował z organami ochrony danych, „których sprawa dotyczy”. Identyfikacja wiodącego organu ochrony danych zależy od ustalenia lokalizacji „głównej jednostki organizacyjnej” lub „pojedynczej jednostki organizacyjnej” administratora w UE.

Jeżeli organizacja posiada jednostkę organizacyjną tylko w jednym państwie EOG, to posiada pojedynczą jednostkę organizacyjną w EOG, a wiodącym organem ochrony danych będzie organ ochrony danych tego państwa.

Jeżeli organizacja posiada jednostkę organizacyjną w więcej niż jednym państwie EOG, konieczne jest określenie jej głównej jednostki organizacyjnej, aby można było zidentyfikować wiodący organ ochrony danych.

Główna jednostka organizacyjna

Aby ustalić, gdzie znajduje się główna jednostka organizacyjna, należy najpierw określić lokalizację centralnej administracji danej organizacji w EOG („miejsce, w którym znajduje się  centralna administracja; siedziba główna), o ile taka istnieje. Jest to miejsce, w którym podejmowane są decyzje dotyczące celów i sposobów przetwarzania danych osobowych.

W przypadkach, w których decyzje dotyczące różnych transgranicznych czynności przetwarzania są podejmowane w miejscu, w którym znajduje się centralna administracja, w EOG będzie istniał jeden wiodący organ ochrony danych dla różnych czynności przetwarzania danych prowadzonych przez przedsiębiorstwo wielonarodowe. Mogą jednak zaistnieć przypadki, w których jednostka organizacyjna inna niż miejsce, w którym znajduje się centralna administracja podejmuje autonomiczne decyzje dotyczące celów i sposobów konkretnej czynności przetwarzania. W takich sytuacjach przedsiębiorstwa będą musiały dokładnie określić, gdzie podejmowane są decyzje dotyczące celu i sposobów przetwarzania. Prawidłowa identyfikacja głównej jednostki organizacyjnej leży w interesie administratorów danych i podmiotów przetwarzających, ponieważ zapewnia jasność co do tego, z którym organem ochrony danych będą miały one do czynienia w odniesieniu do ich różnych obowiązków w zakresie zgodności z przepisami RODO.

W praktyce

• Główna siedziba podmiotu prowadzącego detaliczną sprzedaż odzieży (tj. „miejsce, w którym znajduje się centralna administracja”) znajduje się w Sofii w Bułgarii. Posiada on jednostki organizacyjne w różnych innych krajach EOG, które są w kontakcie z przebywającymi w nich osobami fizycznymi. Wszystkie jednostki organizacyjne wykorzystują to samo oprogramowanie do przetwarzania danych osobowych klientów do celów marketingowych. Wszystkie decyzje dotyczące celów i sposobów przetwarzania danych osobowych klientów w celach marketingowych są podejmowane w siedzibie głównej w Sofii. Oznacza to, że wiodącym organem ochrony danych spółki w odniesieniu do takich transgranicznych czynności przetwarzania jest bułgarski organ ochrony danych.

Organizacje niemające jednostki organizacyjnej w EOG

Jeżeli Twoja organizacja nie posiada jednostki organizacyjnej w EOG, ale podlega RODO, ponieważ jest objęta zakresem terytorialnym RODO, może być konieczne wyznaczenie przedstawiciela w jednym z krajów EOG.

Jeżeli jednak organizacja nie posiada jednostki organizacyjnej w EOG, to sama obecność przedstawiciela w jednym z państw EOG nie powoduje uruchomienia „mechanizmu kompleksowej współpracy”. Oznacza to, że organizacje niemające żadnej jednostki organizacyjnej w EOG muszą kontaktować się z lokalnymi organami ochrony danych w każdym kraju EOG, w którym prowadzą działalność, za pośrednictwem swojego lokalnego przedstawiciela.