Kara za naruszenie ustawy o ochronie danych osobowych w 2018 r.

• Odpowiedzialność karna
• Administracyjne kary pieniężne 
• Odpowiedzialność cywilna

Rozporządzenie PE i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych wejdzie w życie 25 maja 2018 r. Do tego czasu państwa członkowskie moją obowiązek implementować nowe przepisy.

Polecamy: E-wydanie Dziennika Gazety Prawnej

Odpowiedzialność karna

Unijne regulacje nie wskazują bezpośrednio zasad odpowiedzialności karnej za nieprzestrzeganie przepisów o ochronie danych osobowych. W tej kwestii UE pozostawia wolną rękę państwom członkowskim.

Zgodnie z obecnie obowiązującą ustawą o ochronie danych osobowych przewidziana jest odpowiedzialność karna za:

• przetwarzanie danych osobowych w sposób sprzeczny z prawem – czyn zagrożony karą grzywny, karą ograniczenia wolności albo pozbawienia wolności do lat 2 (art. 49);
• udostępnianie danych osobom nieuprawnionym - czyn zagrożony karą grzywny, karą ograniczenia wolności albo pozbawienia wolności do lat 2 (art. 51);
• zaniedbanie obowiązku zabezpieczenia danych - czyn zagrożony karą grzywny, karą ograniczenia wolności albo pozbawienia wolności do roku (art. 52);
• zaniedbanie obowiązku zgłoszenia danych do rejestracji - czyn zagrożony karą grzywny, karą ograniczenia wolności albo pozbawienia wolności do roku (art. 53).

Jednak jak wynika z projektu nowej ustawy zamieszczonego na stronie Ministerstwa Cyfryzacji, powyższe regulacje zostaną uchylone, zaś pojawią się szczegółowe przepisy dotyczące odpowiedzialności administracyjnej i cywilnej.

Zobacz serwis: Sprawy karne

Administracyjne kary pieniężne 

Zgodnie z założeniami projektu ustawy Prezes Urzędu Ochrony  Danych Osobowych będzie mógł nałożyć dwa rodzaje kar administracyjnych za złamanie zasad ochrony danych osobowych:

• na podmioty nie będące organami publicznymi, może nałożyć administracyjne kary pieniężne na podstawie i na warunkach określonych w art. 83 rozporządzenia 2016/679 (art. 49 projektu);
• na podmioty publiczne, o których mowa w art. 9 pkt 8 - 14 ustawy o finansach publicznych, Prezes Urzędu może nałożyć, w drodze decyzji, administracyjne kary pieniężne w wysokości do 100 000 zł (art. 50 projektu).

Podmioty publiczne w rozumieniu art. 9 pkt 8 - 14 ustawy o finansach publicznych to:
- Zakład Ubezpieczeń Społecznych;
- Narodowy Fundusz Zdrowia;
- samodzielne publiczne zakłady opieki zdrowotnej;
- uczelnie publiczne;
- Polska Akademia Nauk i tworzone przez nią jednostki organizacyjne;
- państwowe i samorządowe instytucje kultury;
- inne państwowe lub samorządowe osoby prawne utworzone na podstawie odrębnych ustaw w celu wykonywania zadań publicznych.

W związku z powyższym podmioty publiczne nie wymienione powyżej np. jednostki samorządu terytorialnego oraz ich związki, związki metropolitalne, jednostki budżetowe, samorządowe zakłady budżetowe nie będą karane na podstawie nowych przepisów.

Zobacz też: Postępowanie administracyjne

Zgodnie z art. 53 ust 1 projektu Prezes Urzędu będzie mógł na wniosek podmiotu ukaranego odroczyć uiszczenie kary pieniężnej albo rozłożyć ją na raty ze względu na ważny interes wnioskodawcy.

Wysokość i zasady nakładania administracyjnych kar pieniężnych zostały określone w z art. 83 w dziale pt. „Ogólne warunki nakładania kar pieniężnych” w omawianej regulacji  UE.

Górna granica kary wyznaczona w rozporządzeniu  UE to 20 mln EUR . W przypadku przedsiębiorców kara może wynieść 2% bądź 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Warto podkreślić, iż wysokość sankcji będzie zależna od m. in. rodzaju, charakteru, wagi, czasu trwania naruszenia i innych kryteriów wskazanych w rozporządzeniu  UE.

Odpowiedzialność cywilna

Zgodnie z założeniami projektu każda osoba, której prawa przysługujące na mocy przepisów o ochronie danych osobowych zostały naruszone, może żądać, aby podmiot, który dopuścił się naruszenia, dopełnił czynności potrzebnych do usunięcia jego skutków (art. 55 projektu).

Wystąpienie z powyższym roszczeniem, nie wyłącza możliwości wystąpienia z innymi roszczeniami z tytułu naruszenia przepisów o ochronie danych osobowych.

Sąd cywilny do którego wniesiono pozew z żądaniem usunięcia skutków naruszeń będzie musiał zawiadomić o tym niezwłocznie Prezesa Urzędu. W związku z toczącym się postępowaniem przed PU w tej samej sprawie Sąd może zawiesić toczące się przed nim postępowanie do czasu zakończenia postępowania przed Prezesem Urzędu (art. 57 projektu). Ponad to, sąd ma obligatoryjny obowiązek zawiadomić PU o każdym wyroku w sprawach dotyczących ochrony danych osobowych.

Zobacz też: Pozwy

Podstawa prawna:

1. Ustawa z dnia z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 poz. 922)
2. Projekt ustawy o ochronie danych osobowych z dnia 28 marca 2017 r.
3. Ustawa z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. 2016 poz. 1870)