IAB Polska · Trade and business associations · PL
…1 Stanowisko IAB Polska dotyczące Inicjatywy Komisji Europejskiej ws. dalszego określenia przepisów proceduralnych dotyczących egzekwowania przepisów RODO. I. Wstęp Niniejszy dokument zawiera postulaty podmiotów zrzeszonych w ramach Związku Pracodawców Branży Internetowej IAB Polska dotyczące Inicjatywy Komisji Europejskiej ws. dalszego określenia przepisów proceduralnych dotyczących egzekwowania przepisów RODO (dalej: „Inicjatywa”) Przepisy rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn.
…uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm., dalej: RODO) dokonały harmonizacji publicznego egzekwowania praw osób, których dane dotyczą, przez niezależne, krajowe organy nadzorcze dysponującymi określonymi kompetencjami (zob. art. 51 i n. RODO) W RODO zagwarantowano również zasady współpracy i gwarancje dla spójności podejmowanych działań przez krajowe organy ochrony danych poprzez wprowadzenie koncepcji one-stop-shop (OSS), zgodnie z którą administrator lub podmiot przetwarzający podlega nadzorowi tylko jednego krajowego organu ochrony danych, nawet w przypadku prowadzenia działalności w wielu państwach Europejskiego Obszaru Gospodarczego. Taki organ nadzorczy nazywany jest wiodącym organem nadzorczym (tzw.
…państwach Europejskiego Obszaru Gospodarczego. Taki organ nadzorczy nazywany jest wiodącym organem nadzorczym (tzw. leading supervisory authority, LSA) i jest jedynym punktem kontaktowym właściwym dla transgranicznych operacji przetwarzania danych przez tego administratora (art. 56 ust. 1 RODO). Koncepcja OSS upraszcza firmom transgraniczne prowadzenie działalności i zapewnia pewność prawną i biznesową. Przedsiębiorstwa nie są zobowiązane do monitorowania przepisów krajowych i stosowania się do interpretacji RODO w danym państwie członkowskim. Ewentualna rezygnacja z koncepcji OSS (a więc wprowadzenie formuły multiple-shops) sprzyjałaby pogłębianiu różnic między państwami członkowskimi niż wspieraniu dalszej harmonizacji.
…multiple-shops) sprzyjałaby pogłębianiu różnic między państwami członkowskimi niż wspieraniu dalszej harmonizacji. Znacząco zmniejszyłoby też przewidywalność procesów biznesowych, gdyż lokalne różnice interpretacyjne musiały być uwzględniane przez firmy dokonujące transgranicznego przetwarzania danych osobowych. Jednocześnie zwracamy uwagę, iż Komisja Europejska zdecydowała, iż nie jest konieczne sporządzanie oceny skutków Inicjatywy, “ponieważ inicjatywa nie wpłynie na prawa osób, których dane dotyczą, na obowiązki administratorów danych i podmiotów przetwarzających dane”. W związku z powyższym zwracamy uwagę, aby Inicjatywa skupiała się wyłącznie na współpracy między krajowymi organami ochrony danych i nie zawierała przepisów wpływających na prawa osób wymienionych w zdaniu poprzedzającym. Ref. Ares(2023)2146228 - 24/03/2023 2 Zauważamy, że Inicjatywa stanowi odpowiedź Komisji na m.in.
…poprzedzającym. Ref. Ares(2023)2146228 - 24/03/2023 2 Zauważamy, że Inicjatywa stanowi odpowiedź Komisji na m.in. na opublikowany przez Europejską Radę Ochrony Danych (dalej: EROD lub Rada) wykaz z dnia 12 października 2022 r. ws. aspektów krajowego prawa proceduralnego, które Rada chciałaby zharmonizować na szczeblu UE w celu ułatwienia egzekwowania przepisów RODO1. Wskazane przez EROD postulaty dotyczą spraw transgranicznych. Wobec powyższego poniżej przedstawiamy nasze uwagi dotyczące wskazanych w wykazie EROD aspektów krajowych procedur egzekwowania przepisów RODO do dalszej harmonizacji, które Komisja powinna uwzględnić w przypadku dalszych prac nad Inicjatywą. II.
…przepisów RODO do dalszej harmonizacji, które Komisja powinna uwzględnić w przypadku dalszych prac nad Inicjatywą. II. Określenie terminów proceduralnych dla współpracy między organami ochrony danych w sprawach transgranicznych EROD wskazuje, że brak jednolitych terminów załatwiania przez krajowe organy ochrony danych spraw transgranicznych ze skarg osób, których dane dotyczą może spowodować nadmierne opóźnienia lub rozbieżności w sposobie załatwienia sprawy. W ocenie EROD ujednolicenie terminów załatwiania spraw w postępowaniach transgranicznych byłoby pożądane w celu uniknięcia ryzyka podważenia wiarygodności egzekwowania prawa oraz wyjścia naprzeciw obawom skarżących, że sprawy dotyczące egzekwowania przepisów RODO są rozpatrywane zbyt wolno.
…oraz wyjścia naprzeciw obawom skarżących, że sprawy dotyczące egzekwowania przepisów RODO są rozpatrywane zbyt wolno. Widzimy ryzyko, że ustanowienie odgórnych, sztywnych terminów na załatwienie spraw transgranicznych bez uwzględnienia specyfiki przedmiotu konkretnego postępowania transgranicznego (konkretnej sprawy) może działać na niekorzyść stron postępowania. Postępowania ws. egzekwowania stosowania przepisów RODO przez administratorów lub podmioty przetwarzające składają się ze złożonych czynności proceduralnych, które organy powinny przeprowadzać z należytą starannością. Narzucenie arbitralnych terminów proceduralnych spowoduje podejmowanie decyzji przez organy w pośpiechu i jako takie prawdopodobnie przyczyni się do wzrostu liczby decyzji zaskarżanych przez strony postępowania do krajowych sądów. III. Dalsza harmonizacja przepisów dot.
…liczby decyzji zaskarżanych przez strony postępowania do krajowych sądów. III. Dalsza harmonizacja przepisów dot. dostępu do akt oraz zakresu, sposobów i terminów realizacji prawa stron do bycia wysłuchanym Dostęp stron do akt sprawy nie powinien prowadzić do powstania przecieków, które mogłyby podważyć integralność podejmowania procesu decyzyjnego przez krajowe organy ochrony danych osobowych ze względu na presję zewnętrzną, jaką te przecieki mogą wywołać. Odnosząc się do postulowanego przez EROD ujednolicenia zasad dostępu do akt sprawy w krajowych przepisach proceduralnych wskazujemy, że konieczne byłoby również dokładne dookreślenie zasad uznania ”za poufne” konkretnych dokumentów składających się na akta sprawy.
…byłoby również dokładne dookreślenie zasad uznania ”za poufne” konkretnych dokumentów składających się na akta sprawy. 1 https://edpb.europa.eu/system/files/2022-10/edpb_letter_out2022- 0069_to_the_eu_commission_on_procedural_aspects_en_0.pdf 3 W naszej ocenie biorąc pod uwagę szczególny charakter postępowań transgranicznych z zakresu egzekwowania przepisów RODO konieczne jest, aby Komisja zakazała osobom, które otrzymały dostęp do akt sprawy, ujawniania ich komukolwiek, kto nie jest stroną postępowania. Naruszenie tego zakazu powinno być usankcjonowane administracyjną karą pieniężną. IV. Dalsza harmonizacja przepisów realizujących prawo stron do bycia wysłuchanym Zdaniem EROD KE powinna dokonać harmonizacji krajowych przepisów proceduralnych dotyczących prawa stron do wypowiedzenia się w sprawie, w tym przepisów pozwalających skarżących na przedstawienia swoich poglądów.
…prawa stron do wypowiedzenia się w sprawie, w tym przepisów pozwalających skarżących na przedstawienia swoich poglądów. Zgadzamy się, że wszystkie strony oraz uczestnicy postępowania przed organami ochrony danych powinni otrzymać gwarancje umożliwiające im na czynne przedstawianie poglądów w postepowaniach, które ich dotyczą. Standaryzacja zasad uczestnictwa stron w postępowaniu transgranicznym byłaby zatem pożądana. Nalegamy, aby w celu nadania pełnej skuteczności prawu do bycia wysłuchanym, konieczne jest, aby prawo to umożliwiało stronom przedstawienia, odpowiednio, oświadczeń pisemnych lub ustnych zarówno przed krajowymi organami ochrony danych jak i przed EROD. Prawo do wysłuchania nie powinno być zagwarantowane jedynie przed krajowymi organami ochrony danych, lecz również przed samą EROD.
…nie powinno być zagwarantowane jedynie przed krajowymi organami ochrony danych, lecz również przed samą EROD. W niektórych postępowaniach brak prawa do wysłuchania przed EROD może prowadzić do podejmowania przez Radę wiążących decyzji w oparciu o niedokładne lub niepełne zrozumienie faktów, które mogły zostać naprawione przez strony. Strony powinny mieć możliwość skomentowania ostatecznego projektu decyzji wiodącego organu nadzorczego, zanim trafi on do EROD. Prawo strony postępowania wysłuchania przez EROD w postępowaniach transgranicznych dotyczących wydania wiążących decyzji, o których mowa w art. 65 RODO, powinno mieć miejsce przed przyjęciem takiej decyzji przez Radę. W praktyce oznacza to, że strona postępowania powinna mieć prawo do zapoznania się z tymczasowym stanowiskiem EROD w sprawie oraz możliwość ustosunkowania się do tych poglądów przed przyjęciem decyzji przez EROD. V.
…stanowiskiem EROD w sprawie oraz możliwość ustosunkowania się do tych poglądów przed przyjęciem decyzji przez EROD. V. Wyjaśnienie sposobu wymiany informacji między organem ochrony danych prowadzącym dochodzenie a zainteresowanymi organami nadzoru - w tym na etapach prowadzących do wydania wiążącej opinii przez EROD Zalecenie EROD, aby Komisja wprowadziła przepisy zapewniające jednolite i spójne zasady rozpoznawania przypadków spraw, w których prowadzenie dalszego postępowania transgranicznego, w tym wydania wiążącej decyzji przez EROD, nie jest uzasadnione. Uważamy, że wprowadzenie takich przepisów może naruszać niezależność wiodących organów nadzorczych, w tym ich uznanie w ocenie elementów każdej sprawy. Postulujemy, aby Komisja nie przyjmowania takich zasad bez należytego uwzględnienia marginesu swobody uznania wiodącego organu ochrony danych.
14 → 12