8. kadencja, 22. posiedzenie, 3. dzień (07-07-2016)
30. punkt porządku dziennego:
Sprawozdania z działalności generalnego inspektora ochrony danych osobowych w roku 2014 i w roku 2015 (druki nr 116 i 582) wraz ze stanowiskiem Komisji Sprawiedliwości i Praw Człowieka (druk nr 619).
Poseł Marta Golbik:
Pani Marszałek! Wysoka Izbo! W odniesieniu do sprawozdań z działalności generalnego inspektora ochrony danych osobowych w latach 2014 i 2015 warto podnieść kilka dodatkowych spraw.
Jeśli chodzi o druk nr 116, to biorąc pod uwagę, że nowe przepisy w dużej mierze mają na celu osiągnięcie wyższego poziomu egzekwowania obowiązku przetwarzania danych przez firmy, widać, że nieco przewrotnie stanowią one część nowelizacji ustawy o ułatwieniu wykonywania działalności gospodarczej z dnia 7 listopada 2014 r., tzw. czwartej ustawy deregulacyjnej. Przedsiębiorcy jako administratorzy danych musieli w krótkim czasie podjąć decyzję co do kształtu, formy spełniania przez nich obowiązków przewidzianych w ustawie oraz przygotować się do nich w taki sposób, aby nie były zbyt kosztowne.
Najwięcej zmian dotyczy administratora bezpieczeństwa informacji. W zbliżonym do zaproponowanego w projekcie kształcie ABI funkcjonuje już u wielu dużych przedsiębiorców, u mniejszych raczej jest to rzadkość. Nowe przepisy zobowiążą administratora danych do wyboru jednej z dwóch możliwości, tj. albo wdrożenia i samodzielnego nadzoru nad ochroną danych, albo wyznaczenia administratora bezpieczeństwa informacji i zgłoszenia go do rejestru ABI prowadzonego przez GIODO. Wówczas ABI będzie odpowiedzialny za wdrożenie dokumentacji i składanie corocznych sprawozdań do administratora danych osobowych.
Rozszerzono więc zakres obowiązków, ale i uprawnień administratora. Te obowiązki to przede wszystkim tzw. sprawdzenie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych. Częstotliwość oraz precyzyjną formę przeprowadzania działań sprawdzających określa rozporządzenie wykonawcze. Zgodnie z art. 19b ust. 1 z poleceniem dokonania sprawdzenia przez administratora może zwrócić się GIODO, wskazując zakres i termin sprawdzenia. Następny obowiązek to prowadzenie rejestru zbiorów danych przetwarzanych przez administratora, z wyjątkiem tych podlegających ustawowemu zwolnieniu z obowiązku rejestracji. Rejestr, który prowadzi administrator, jest jawny i każdy ma prawo jego przeglądania.
Druga ważna zmiana związana jest z usprawnieniem przekazywania danych osobowych do krajów trzecich - spoza Europejskiego Obszaru Gospodarczego - co obecnie, w dobie globalizacji, jest bardzo częste. Przed nowelizacją niespełnienie określonych ustawowo przesłanek wskazanych w ustawie powodowało konieczność wystąpienia do GIODO o odpowiednią zgodę. W nowelizacji potwierdzono, że odpowiednią ochronę u przedsiębiorców w kraju trzecim - importera - zapewnia wprost stosowanie standardowych klauzul umownych zatwierdzonych przez Komisję Europejską lub wiążących reguł korporacyjnych. W drugim przypadku, tj. w przypadku zastosowania ogólnych zasad przetwarzania danych osobowych obwiązujących w korporacji, konieczne jest jednak uzyskanie akceptacji organu w jednym kraju Europejskiego Obszaru Gospodarczego. Przewidziana jest możliwość przeprowadzenia konsultacji z organami ochrony danych państw członkowskich Europejskiego Obszaru Gospodarczego.
Przedsiębiorca, powołując administratora bezpieczeństwa informacji, zgłasza ten fakt do GIODO. Musi zgłosić również jego odwołanie. Administrator, mając przydzielone przez przedsiębiorcę rozszerzone kompetencje, wykonuje określone ustawą działania, dotychczas przewidziane dla GIODO, samodzielnie, jak np. - w wymagających tego przypadkach - działania samokontrolne. W konsekwencji działania te muszą być uzupełnione sprawozdawczością stanowiącą element wewnętrznej dokumentacji. Należy jednocześnie mieć nadzieję, że te zlecone przez GIODO kontrole nie będą zbyt częste oraz że będą w rozsądnych zakresach i terminach.
Na wprowadzonych zmianach dotyczących administratora bezpieczeństwa informacji na pewno najbardziej skorzystają ci przedsiębiorcy, którzy powołali go już wcześniej w kształcie podobnym do zaproponowanego w projekcie. W szczególności w przypadku dużych przedsiębiorstw o mocnej pozycji ABI będą to rozwiązania potwierdzające i wspierające ich efektywne działania w tym zakresie, jak np. możliwość samokontroli administratora, będąca w określonych przypadkach alternatywą dla kontroli GIODO, czy np. rezygnacja, wówczas gdy jest administrator bezpieczeństwa informacyjnego, ze zbędnego rejestrowania zbiorów danych. Należy mieć jednak na względzie, że związane jest to z określonymi nakładami: na funkcjonowanie administratora - zwłaszcza tam, gdzie obowiązki wynikające z ustawy wypełnia sam administrator - czy w związku z obowiązkiem jawnego prowadzenia rejestru zbiorów, kiedy trzeba uwzględnić dodatkowe nakłady, np. na utrzymanie strony internetowej czy zakup oprogramowania.
Także w powiązaniu z nie do końca jeszcze określonym brzmieniem rozporządzenia unijnego może się okazać, że poniesione koszty w tym zakresie są częściowo niepotrzebne, bowiem obowiązki zostaną inaczej ukształtowane. Stąd też wydaje się, że te rozwiązania są mniej korzystne dla wielu mniejszych przedsiębiorstw, u których de facto nie funkcjonuje administrator bezpieczeństwa informacji w kształcie zbliżonym do projektowanego. Część obowiązków GIODO została przeniesiona na przedsiębiorców. Przedsiębiorcy nie otrzymują wsparcia od GIODO w przypadku niejasnych zapisów prawa lub braku jednoznacznej wykładni przepisów prawa w dotychczasowych wyrokach.
W odniesieniu do druku nr 582, str. 291. Zostały postawione terminowe zobowiązania dotyczące zgłoszenia administratora bezpieczeństwa informacji lub zbiorów danych osobowych. Brak jest gwarancji terminu ze strony GIODO. Rejestracje trwają do kilku miesięcy.
W nawiązaniu do druku nr 582, str. 292-293. Fragmenty, który muszę przytoczyć: ˝ABI ma bowiem odpowiadać za całokształt prawidłowego przetwarzania danych, a więc zarówno za ich ochronę i bezpieczeństwo, jak i szkolenia oraz doradzanie pracownikom administratora mającym do nich dostęp. ABI ma nadzorować cały proces przetwarzania danych w instytucji˝.
˝Zgodnie z obowiązującymi od początku 2015 r. przepisami znowelizowanej ustawy o ochronie danych osobowych jednym z zadań ABI jest obecnie wykonywanie sprawdzeń zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych. W ocenie organu działalność ABI w tym zakresie może pomóc w zapewnieniu wyższego poziomu ochrony danych osobowych. Pod tym względem generalny inspektor widzi w administratorach bezpieczeństwa informacji swoich partnerów, a nawet podmioty, które w pierwszej kolejności mogłyby reagować na nieprawidłowości dotyczące przetwarzania danych u administratorów danych osobowych, którzy ich powołali. Konieczne jest jednak do tego odpowiednie przygotowanie merytoryczne oraz wola współpracy z organem ochrony danych osobowych˝.
To jest koniec przytoczonego fragmentu. Pytanie: Na czym ma polegać współpraca GIODO z tymi podmiotami w celu zapewnienia wyższego poziomu ochrony danych osobowych? Dotychczasowe doświadczenia podmiotów gospodarczych niestety nie napawają optymizmem. Telefon infolinii jest niedostępny. Przez ostatnie 7 lat, w czasie których pełniłam funkcję administratora bezpieczeństwa informacji, pomimo wielokrotnie podejmowanych prób nie udało mi się dodzwonić do GIODO. Korespondencja z GIODO jest działaniem jednostronnym. Przedsiębiorcy mają obowiązek reakcji na zapytania GIODO w ciągu 7 dni. GIODO albo nie odpowiada wcale, albo przekazuje odpowiedź po 8 miesiącach z konkluzją: przedsiębiorca powinien zasięgnąć opinii w kancelarii prawnej.
Jak GIODO oczekujący daleko idącej współpracy z ABI zamierza wspierać administratora w wypełnianiu obowiązków? Biorąc pod uwagę duże ryzyko związane z pełnieniem funkcji administratora po wdrożeniu rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych - kary finansowe, na jakie wsparcie przedstawiciele przedsiębiorców mogą liczyć?
40 konferencji, seminariów, spotkań krajowych i międzynarodowych z udziałem GIODO lub jego przedstawicieli zorganizowanych w 2015 r. w Polsce przez generalnego inspektora ochrony danych osobowych lub inne podmioty to ilość daleko niewystarczająca. Należałoby pomyśleć o lepszym wykorzystaniu technologii informatycznych. Materiały prezentowane na stronie GIODO są bardzo ograniczone.
Ważne jest, na co zwraca uwagę klub Nowoczesna, aby przy realizacji słusznych założeń polityki generalnego inspektora danych osobowych w Polsce zarówno rozwiązania legislacyjne, jak i codzienna praktyka działalności urzędów nastawione były na współpracę oraz wsparcie firm i instytucji gromadzących i przetwarzających dane osobowe w Polsce. Środki przymusu stosowane przez generalnego inspektora, tj. kary i mandaty, powinny być środkiem ostatecznym, a nie podstawowym celem działalności urzędu. W pierwszej kolejności nacisk kładziony powinien być na kwestie edukacyjne, doradcze czy takie, które zapewniają wsparcie podmiotom w prawidłowej realizacji przepisów ustawy. Szczególnie ważna jest codzienna praktyka, praca prowadzona w odniesieniu do podmiotów gospodarczych, które w swojej pracy gromadzą i przetwarzają dane osobowe. Urząd powinien zapewnić maksymalne wsparcie polskim firmom, tak żeby przepisy i obostrzenia wynikające z ustawy nie stanowiły niepotrzebnego hamulca w rozwoju polskiej przedsiębiorczości.
Bardzo dziękujemy za przedstawione sprawozdanie. Klub parlamentarny Nowoczesna pomimo wymienionych uwag, jakie zgłosiliśmy, będzie głosował za przyjęciem sprawozdania. Dziękuję bardzo. (Oklaski)
Przebieg posiedzenia