8. kadencja, 62. posiedzenie, 1. dzień (08-05-2018)

1. punkt porządku dziennego:

Pierwsze czytanie rządowego projektu ustawy o ochronie danych osobowych (druk nr 2410).

Poseł Arkadiusz Marchewka:

    Szanowny Panie Marszałku! Panie Ministrze! Szanowni Państwo! Projekt ustawy, który omawiamy, jest jednym z najważniejszych aktów prawnych przyjmowanych przez Sejm obecnej kadencji. RODO to słowo tysiące razy odmieniane w ostatnich miesiącach przez wszystkie przypadki, przez wszystkich, którzy przetwarzają dane osobowe.

    Celem projektu jest dostosowanie do polskiego prawa rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych. Każde z państw członkowskich zobowiązane jest do zapewnienia jego skutecznego stosowania w swoim porządku prawnym poprzez przyjęcie właściwych przepisów wewnętrznych. Rozporządzenie zacznie być aktem bezpośrednio stosowanym oraz bezpośrednio skutecznym już za kilkanaście dni. Przepisy te skierowane są do wszystkich podmiotów, które gromadzą lub wykorzystują dane osobowe osób fizycznych. Od 25 maja 2018 r. wszystkie firmy, urzędy, szkoły, organizacje pozarządowe i nie tylko będą musiały przestrzegać tych wymogów.

    W dzisiejszym świecie każda informacja ma swoją cenę, natomiast dane osobowe stały się dla wielu walutą XXI w. i są na wagę złota. Do tego często wykorzystywane są bez wiedzy i wbrew woli osób, które są właścicielami tych danych. Dlatego rozporządzenie unijnych instytucji ma dać obywatelom gwarancję bezpieczeństwa i nowego spojrzenia na kwestie ich prywatności.

    Rozporządzenie dotyczy praktycznie każdego podmiotu przetwarzającego dane osobowe, gwarantuje obywatelom ważne prawo do prywatności. To m.in., po pierwsze, prawo do bycia zapomnianym, czyli prawo do trwałego usunięcia danych osobowych przetwarzanych przez dany podmiot, po drugie, prawo do żądania przeniesienia danych, czyli chodzi o możliwość przeniesienia danych osobowych do innego podmiotu przy zmianie umowy, po trzecie, rozszerzone prawo do informacji o tym, jakie dane, w jakim celu i przez kogo są przetwarzane, po czwarte, prawo do wglądu w dane osobowe osoby, której dane dotyczą, i po piąte, rozszerzone prawo do sprzeciwu wobec przetwarzania danych. To ważne narzędzia gwarantujące obywatelom bezpieczeństwo ich danych i poczucie prywatności.

    Proces implementacji przepisów unijnych i przygotowania nowego projektu ustawy o ochronie danych osobowych trwał wiele miesięcy. Podczas prac nad ustawą na szczęście wprowadzono wiele zmian, które były rekomendowane przez stronę społeczną podczas konsultacji społecznych. Dla przykładu, pierwotnie małe i średnie przedsiębiorstwa mogły liczyć, że RODO nie będzie ich dotyczyło. Ministerstwo Rozwoju chciało wyłączyć je z obowiązku informacyjnego. Oznaczałoby to, że ich klienci, a aż 99% polskich firm zatrudnia poniżej 250 osób, przestaliby być informowani o tym, co dzieje się z ich danymi. Zapisy te zostały jednak przez ministerstwo wycofane z projektu niniejszej ustawy.

    Generalny inspektor ochrony danych osobowych przeprowadził badania, z których wynika, że jeszcze ponad 2 miesiące temu jedynie 8% przedsiębiorców rozpoczęło proces wdrażania ogólnego rozporządzenia o ochronie danych osobowych w swoim przedsiębiorstwie. Przedsiębiorcy wskazywali, że brakuje podstawowej pomocy ze strony organów władzy publicznej w celu dostosowania się do nowych przepisów. Ich zdaniem w szczególności braki dotyczą, po pierwsze, szerszej informacji dla małych firm, które nie wiedzą, w jakim stopniu ogólne rozporządzenie o ochronie danych osobowych znajduje w stosunku do nich zastosowanie, po drugie, edukacji w zakresie nowych obowiązków, po trzecie, omówienia zmienianych w ogólnym rozporządzeniu o ochronie danych osobowych zasad profilowania oraz podejścia opartego na ryzyku i rozliczalności, po czwarte, wytycznych odnoszących się do nowych obowiązków wyjaśnianych na konkretnych przykładach, po piąte, komunikacji na temat ogólnego rozporządzenia o ochronie danych osobowych w Internecie. Ostatnia z takich wątpliwości dotyczy braku szkoleń on-line, w szczególności w formie e-learningu.

    Ministerstwo Cyfryzacji przygotowało jedynie poradnik elektroniczny, który zasadniczo stanowi jedyną formę wsparcia dla przedsiębiorców we wdrażaniu przepisów ogólnego rozporządzenia o ochronie danych osobowych. Jest on jednak w przeważającej większości interpretacją przepisów rozporządzenia, która nie stanowi przewodnika zawierającego krok po kroku informacje, w jaki sposób ma się zachować przedsiębiorca w nowej sytuacji. W tych okolicznościach działania rządu powinny być nakierowane na wytłumaczenie, jak przeprowadzić proces zmian, a nie tłumaczenie treści poszczególnych przepisów. To, co zrobiło ministerstwo w tym zakresie, to zdecydowanie za mało.

    Duże wątpliwości w tym zakresie wzbudza zapis likwidujący organ odpowiedzialny za nadzór nad przestrzeganiem przepisów o ochronie danych osobowych, jakim jest generalny inspektor ochrony danych osobowych, i zastępujący go nowym Urzędem Ochrony Danych Osobowych. Żaden z przepisów rozporządzenia nie wymaga zmiany organu odpowiedzialnego za nadzór nad tymi danymi.

    Jak pokazały dotychczasowe doświadczenia, obecny model funkcjonowania GIODO pod względem statusu i gwarancji niezależności zapewnia bardzo wysokie standardy i spełnia wymogi stawiane organom nadzorczym przepisami rozporządzenia.

    Ponadto GIODO stał się rozpoznawalnym organem zajmującym się tymi kwestiami. Ponad 95% przedsiębiorców wskazuje ten podmiot jako odpowiedzialny właśnie za ochronę danych osobowych. To ponad 20 lat doświadczeń, które niestety ministerstwo chce zniszczyć.

    Dlatego warto też zadać pytanie o koszty takiej zmiany - zarówno te finansowe, prawne, jak również społeczne - dotyczące rozpoznawalności GIODO w świadomości przedsiębiorców, administracji publicznej i przede wszystkim obywateli. Niezasadne wydaje się ponoszenie takich kosztów w sytuacji, w której zmiana nazwy organu nie jest wymagana przez rozporządzenie.

    Na szczęście wycofano się z niedopuszczalnych z punktu widzenia zagwarantowania niezależności organu ochrony danych osobowych zapisów dotyczących powoływania zastępców prezesa Urzędu Ochrony Danych Osobowych przez premiera, co świadczyłoby o próbie podporządkowania tak ważnej funkcji władzy wykonawczej.

    I ostatnia kwestia. Dziś w GIODO pracuje ok. 150 osób. Dodatkowe pieniądze są niezbędne dla tej instytucji po to, aby zatrudnić kolejne 100 osób i stworzyć nowe etaty. To jest minimum, które pozwoli realizować dotychczasowe liczne zadania wynikające właśnie z RODO. Nawet jeśli budżet zostanie odmrożony w maju, bo znajduje się obecnie w rezerwie budżetowej, będzie to zbyt późno. Jak bowiem mają być przyjmowane zgłoszenia naruszeń ochrony danych osobowych, w tym wycieków danych, w jakim programie, na jakim sprzęcie, kto będzie te zgłoszenia przyjmował i rozpatrywał? Przecież na przygotowanie przetargów, na zakup sprzętu, serwerów czy zatrudnienie dodatkowych ludzi potrzeba czasu. I to są wątpliwości, na które zwracamy uwagę.

Przebieg posiedzenia