Rozporządzenie PE i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych wejdzie w życie 25 maja 2018 r. Do tego czasu państwa członkowskie moją obowiązek implementować nowe przepisy.
Polecamy: E-wydanie Dziennika Gazety Prawnej
Odpowiedzialność karna
Unijne regulacje nie wskazują bezpośrednio zasad odpowiedzialności karnej za nieprzestrzeganie przepisów o ochronie danych osobowych. W tej kwestii UE pozostawia wolną rękę państwom członkowskim.
Zgodnie z obecnie obowiązującą ustawą o ochronie danych osobowych przewidziana jest odpowiedzialność karna za:
- przetwarzanie danych osobowych w sposób sprzeczny z prawem – czyn zagrożony karą grzywny, karą ograniczenia wolności albo pozbawienia wolności do lat 2 (art. 49);
- udostępnianie danych osobom nieuprawnionym - czyn zagrożony karą grzywny, karą ograniczenia wolności albo pozbawienia wolności do lat 2 (art. 51);
- zaniedbanie obowiązku zabezpieczenia danych - czyn zagrożony karą grzywny, karą ograniczenia wolności albo pozbawienia wolności do roku (art. 52);
- zaniedbanie obowiązku zgłoszenia danych do rejestracji - czyn zagrożony karą grzywny, karą ograniczenia wolności albo pozbawienia wolności do roku (art. 53).
Jednak jak wynika z projektu nowej ustawy zamieszczonego na stronie Ministerstwa Cyfryzacji, powyższe regulacje zostaną uchylone, zaś pojawią się szczegółowe przepisy dotyczące odpowiedzialności administracyjnej i cywilnej.
Zobacz serwis: Sprawy karne
Administracyjne kary pieniężne
Zgodnie z założeniami projektu ustawy Prezes Urzędu Ochrony Danych Osobowych będzie mógł nałożyć dwa rodzaje kar administracyjnych za złamanie zasad ochrony danych osobowych:
- na podmioty nie będące organami publicznymi, może nałożyć administracyjne kary pieniężne na podstawie i na warunkach określonych w art. 83 rozporządzenia 2016/679 (art. 49 projektu);
- na podmioty publiczne, o których mowa w art. 9 pkt 8 - 14 ustawy o finansach publicznych, Prezes Urzędu może nałożyć, w drodze decyzji, administracyjne kary pieniężne w wysokości do 100 000 zł (art. 50 projektu).
Podmioty publiczne w rozumieniu art. 9 pkt 8 - 14 ustawy o finansach publicznych to:
- Zakład Ubezpieczeń Społecznych;
- Narodowy Fundusz Zdrowia;
- samodzielne publiczne zakłady opieki zdrowotnej;
- uczelnie publiczne;
- Polska Akademia Nauk i tworzone przez nią jednostki organizacyjne;
- państwowe i samorządowe instytucje kultury;
- inne państwowe lub samorządowe osoby prawne utworzone na podstawie odrębnych ustaw w celu wykonywania zadań publicznych.
W związku z powyższym podmioty publiczne nie wymienione powyżej np. jednostki samorządu terytorialnego oraz ich związki, związki metropolitalne, jednostki budżetowe, samorządowe zakłady budżetowe nie będą karane na podstawie nowych przepisów.
Zobacz też: Postępowanie administracyjne
Zgodnie z art. 53 ust 1 projektu Prezes Urzędu będzie mógł na wniosek podmiotu ukaranego odroczyć uiszczenie kary pieniężnej albo rozłożyć ją na raty ze względu na ważny interes wnioskodawcy.
Wysokość i zasady nakładania administracyjnych kar pieniężnych zostały określone w z art. 83 w dziale pt. „Ogólne warunki nakładania kar pieniężnych” w omawianej regulacji UE.
Górna granica kary wyznaczona w rozporządzeniu UE to 20 mln EUR . W przypadku przedsiębiorców kara może wynieść 2% bądź 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Warto podkreślić, iż wysokość sankcji będzie zależna od m. in. rodzaju, charakteru, wagi, czasu trwania naruszenia i innych kryteriów wskazanych w rozporządzeniu UE.
Odpowiedzialność cywilna
Zgodnie z założeniami projektu każda osoba, której prawa przysługujące na mocy przepisów o ochronie danych osobowych zostały naruszone, może żądać, aby podmiot, który dopuścił się naruszenia, dopełnił czynności potrzebnych do usunięcia jego skutków (art. 55 projektu).
Wystąpienie z powyższym roszczeniem, nie wyłącza możliwości wystąpienia z innymi roszczeniami z tytułu naruszenia przepisów o ochronie danych osobowych.
Sąd cywilny do którego wniesiono pozew z żądaniem usunięcia skutków naruszeń będzie musiał zawiadomić o tym niezwłocznie Prezesa Urzędu. W związku z toczącym się postępowaniem przed PU w tej samej sprawie Sąd może zawiesić toczące się przed nim postępowanie do czasu zakończenia postępowania przed Prezesem Urzędu (art. 57 projektu). Ponad to, sąd ma obligatoryjny obowiązek zawiadomić PU o każdym wyroku w sprawach dotyczących ochrony danych osobowych.
Zobacz też: Pozwy
Podstawa prawna:
- Ustawa z dnia z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 poz. 922)
- Projekt ustawy o ochronie danych osobowych z dnia 28 marca 2017 r.
- Ustawa z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz. U. 2016 poz. 1870)