8. kadencja, 63. posiedzenie, 1. dzień (05-06-2018)
10. punkt porządku dziennego:
Sprawozdania z działalności generalnego inspektora ochrony danych osobowych w roku 2016 i w roku 2017 (druki nr 2170 i 2416) wraz ze stanowiskiem Komisji Sprawiedliwości i Praw Człowieka (druk nr 2544).
Poseł Zofia Czernow:
Panie Marszałku! Wysoki Sejmie! Pani Prezes! Mam zaszczyt przedstawić stanowisko Klubu Parlamentarnego Platforma Obywatelska wobec sprawozdań z działalności generalnego inspektora ochrony danych osobowych w roku 2016 i w roku 2017, druki nr 2170 i 2416.
Generalny inspektor ochrony danych osobowych przedłożył Sejmowi szczegółowe sprawozdania ze swojej działalności za 2016 r. i 2017 r. wraz z wnioskami wynikającymi ze stanu przestrzegania przepisów o ochronie danych osobowych.
Na wstępie pragnę zwrócić uwagę na termin przedłożenia sprawozdania za 2016 r., gdyż w mojej ocenie to sprawozdanie jest spóźnione o cały rok i nie realizuje celu wynikającego z ustawy o ochronie danych osobowych. Wprawdzie ustawa nie precyzuje, nie wskazuje dokładnego terminu jego przedłożenia, to jednak, biorąc pod uwagę ustawowy cel składania Sejmowi sprawozdania za miniony rok, należy uznać, że generalny inspektor ochrony danych osobowych nie wykonał obowiązków wynikających z ustawy. Głównym bowiem celem analizy sprawozdań była i jest ocena stanu przestrzegania przepisów o ochronie danych osobowych, w tym konkretnym przypadku w 2016 r., której to oceny z powodu niezłożenia sprawozdania Sejm nie mógł dokonać.
Taka ocena ma jedynie sens, jeżeli jest dokonywana w krótkim terminie od zakończenia roku sprawozdawczego, gdyż wnioski i rekomendacje z niej wynikające mogą być możliwie szybko wdrożone.
Bardzo źle się stało, choć nie jest to sprawa generalnego inspektora ochrony danych osobowych, że sprawozdania nie zostały rozpatrzone w trakcie debaty nad nową ustawą o ochronie danych osobowych i implementacją do polskiego systemu prawnego nowych unijnych ram prawnych dotyczących ochrony danych osobowych. Chodzi o rozporządzenie Parlamentu Europejskiego i Rady z kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych. To znacznie utrudniło możliwość kompleksowego spojrzenia na nowe przepisy ustawy w świetle istniejącej sytuacji w tym zakresie w Polsce, a także, co jest bardzo ważne, utrudniło przygotowanie odpowiednich warunków działalności nowego organu.
W tym miejscu przypomnę, że generalny inspektor ochrony danych osobowych boryka się z poważnymi problemami wynikającymi z braku odpowiedniej siedziby na swoją działalność i konieczności ponoszenia bardzo wysokich kosztów komercyjnego czynszu za wynajmowane pomieszczenia, a także niewystarczającego zabezpieczenia wydatków bieżących. Każdego roku podczas prac nad projektem budżetu podnoszę problem zbyt niskiego poziomu finansowania zadań GIODO. Ta sprawa nadal jest jednak nierozwiązana. Wyrażam przekonanie, że minister finansów zagwarantuje dodatkowe środki finansowe na realizację nowych, bardzo ważnych zadań dotyczących ochrony osób fizycznych w związku z przetwarzaniem danych osobowych.
Przechodząc do szczegółów zawartych w sprawozdaniach, podkreślić należy, że sporządzono je w sposób przejrzysty i czytelny, co niewątpliwie ułatwia analizę i ocenę.
Głównym zadaniem GIODO i jego biura był nadzór nad przestrzeganiem przepisów o ochronie danych osobowych i kontrola tego przestrzegania, prowadzenie rejestru zbiorów, rozpatrywanie skarg i wydawanie decyzji administracyjnych. Analiza sprawozdań wskazuje na systematyczny wzrost ilości zadań w zakresie ochrony danych osobowych, wskazuje na nowe wyzwania związane z postępującą globalizacją i rozwojem technologii informatycznych. Każdego roku wzrasta liczba skarg dotyczących naruszenia przepisów o ochronie danych osobowych. I tak w 2017 r. wpłynęło 2950 skarg, tj. o 17% więcej aniżeli w 2016 r., podobnie jak to miało miejsce w roku poprzednim.
Z analizy skarg według poszczególnych kategorii wynikają następujące trendy. Największy udział mają skargi z kategorii: Internet, które dotyczą szeroko pojętego przetwarzania danych w sieci informatycznej. Znaczny odsetek skarg, bo ok. 16% ogółu, dotyczy działalności banków i innych instytucji finansowych, w tym związanych z windykacją należności. Duża skala skarg w tym obszarze utrzymuje się od lat.
Zastanowienia wymaga znaczna liczba skarg na przetwarzanie danych osobowych przez administrację publiczną, które dotyczą pozyskiwania danych w związku z koniecznością przyznania określonych świadczeń, wymiany danych osobowych pomiędzy podmiotami oraz zamieszczania danych osobowych na stronach internetowych jednostek samorządu terytorialnego.
W 2017 r. generalny inspektor danych osobowych przeprowadził łącznie 145 kontroli dotyczących zgodności przetwarzania danych osobowych z przepisami ustawy, tj. na poziomie wykonanym w 2016 r. Mniejsza liczba kontroli z jednej strony jest wynikiem występowania w coraz większym zakresie scentralizowanych systemów informatycznych, co znacząco rozszerza zakres takich kontroli, z drugiej zaś wiąże się bezpośrednio ze zbyt małą liczbą pracowników Biura Generalnego Inspektora Ochrony Danych Osobowych zajmujących się kontrolami.
Generalny inspektor ochrony danych osobowych prowadzi ogólnokrajowy, jawny rejestr zbiorów danych osobowych, do którego zgłaszane są przez administratorów wnioski o rejestrację. Najważniejszym celem rejestracji zbiorów jest zapewnienie przejrzystości i nadzoru nad przestrzeganiem przepisów o ochronie danych osobowych. W 2017 r. administratorzy danych zgłosili do rejestru blisko 26 600 zbiorów danych osobowych. Jest to ogromna skala.
Bardzo ważnym zadaniem o charakterze ciągłym jest opiniowanie aktów prawnych i rozporządzeń dotyczących ochrony danych osobowych, co winno eliminować nieprawidłowości dotyczące przetwarzania danych osobowych już na etapie tworzenia prawa. Błędem, na który GIODO zwraca uwagę przy opiniowaniu aktów prawnych, jest określanie przez projektodawcę w przepisach specjalnej zgody jako podstawy prawnej do pozyskiwania i przetwarzania danych przez organy administracji państwowej. Takie rozwiązania są sprzeczne z zasadami działania organów państwa, które określone są przecież w konstytucji.
GIODO podkreśla, z czym absolutnie należy się zgodzić, że przetwarzanie danych przez wszystkie organy administracji państwowej musi mieć podstawę prawną w konkretnym akcie prawnym, a nie odbywać się na podstawie udzielonej zgody. W innej sytuacji przetwarzanie danych jest źródłem zasadnych skarg.
Na podkreślenie zasługują szeroko zakrojone działania informacyjno-edukacyjne GIODO. Działalność wydawnicza i organizacja konferencji, szkoleń, seminariów, spotkań i konkursów przynoszą coraz lepsze efekty w postaci podnoszenia świadomości społecznej na temat konieczności ochrony danych osobowych. Coraz więcej konsumentów i - co bardzo ważne - młodzieży szkolnej podkreśla, jak ważna jest dla nich ochrona prywatności. Oczekują oni takich działań, które zapewnią im tę ochronę.
Warto zwrócić uwagę na określone w sprawozdaniu za 2017 r. wyzwania stojące przed organem do spraw ochrony danych osobowych. Bez wątpienia to wdrażanie i upowszechnianie nowych technologii. Rozwój ten następuje w obszarze zarówno doskonalenia i powstawania nowych rozwiązań sprzętowych, jak i nowych technologii przetwarzania informacji, jak sztuczna inteligencja, nowe technologie głębokiej analizy danych, dynamicznie rozwijający się Internet rzeczy, aplikacje mobilne czy mobilne stacjonarne urządzenia pomiarowe. Tym i nowym technologiom musi sprostać organ do spraw ochrony danych osobowych.
Aby tak się działo, musi być wyposażony we wszystkie niezbędne narzędzia i dysponować wysoce specjalistyczną kadrą i odpowiednim budżetem. Wyrażam przekonanie, że rząd, jak również parlament stworzą takie warunki działania temu organowi, aby te zadania były realizowane na najwyższym poziomie. Dziękuję bardzo.
Przebieg posiedzenia