Skarga do UODO - o czym pamiętać?

Skarga w indywidualnej sprawie

Skarga na bezprawne działania związane z udostępnieniem naszych danych inicjuje postępowanie w UODO. Konieczne jest przy tym wskazanie kogo skarżymy, gdyż urząd nie posiada kompetencji organów ścigania, by ustalić podmiot naruszający czyjeś prawa. Jeżeli nie jesteśmy w stanie ustalić, kto i w jaki sposób udostępnił nasze dane, a doszło, naszym zdaniem, do przestępstwa, powinniśmy złożyć stosowne zawiadomienie o podejrzeniu popełnienia przestępstwa. Organy ścigania, takie jak policja czy prokuratura, mają bowiem możliwość w toku postępowania przygotowawczego prowadzonego w związku z takim zawiadomieniem ustalić dane sprawcy.

Istnieją sytuacje, gdy UODO podejmuje działania z urzędu. Tak się dzieje najczęściej, gdy np. dochodzi do dużego wycieku danych, czyli naruszenia ochrony danych u konkretnego administratora. Działania UODO dotyczą wówczas samego naruszenia ochrony danych, a nie osób, których dotyczy dany incydent. Ponadto, gdy w takich sytuacjach dochodzi do podejrzenia, że dane działanie administratora lub konkretnej osoby nosi znamiona przestępstwa, zawiadamiane są organy ścigania.

W sprawach wszczętych z urzędu postępowanie toczy się pomiędzy administratorem danych a Prezesem UODO.

Takie przypadki należy jednak odróżnić od sprawy indywidualnej osoby. W takiej sytuacji wszczęcie postępowania przez UODO następuje po złożeniu skargi przez osobę, której dane dotyczą, na dany podmiot, którego należy wskazać w skardze i przedstawić oczekiwane żądanie, które ma spełnić, np. usunąć dane, sprostować je, dopełnić obowiązku informacyjnego wobec konkretnej osoby czy wycofać zgodę na przetwarzanie danych.

Postępowanie związane jest z żądaniem osoby

Wszczęcie postępowania przez Prezesa UODO w przedmiocie naruszenia przepisów o ochronie danych osobowych w przypadku przetwarzania danych osobowych konkretnej osoby jest zatem ściśle związane z realizacją uprawnienia przez tę osobę wynikającego z art. 77 RODO, co oznacza, iż może być ono wszczęte wyłącznie na żądanie osoby, której dane dotyczą.

Prezes UODO może również wyjątkowo ze względu na szczególnie ważny interes strony wszcząć z urzędu postępowanie administracyjne w indywidualnej sprawie, jednakże musi na to uzyskać zgodę osoby, której dane osobowe są przetwarzane. Nie dysponując zgodą osoby, której dane osobowe są przetwarzane, na prowadzenie takiego postępowania, musi postępowanie umorzyć, bowiem mógłby działać wbrew jej woli. Ponadto uniemożliwiłby kształtowanie przedmiotu postępowania administracyjnego przez osobę, której praw i obowiązków dotyczyć ma prowadzone postępowanie.

Należy mieć na uwadze, że do postępowań przed UODO zastosowanie mają przepisy Kodeksu postępowania administracyjnego, które określają, że skarga inicjująca postępowanie musi zawierać m.in. wskazanie żądania strony.

Na fakt, że o charakterze i zakresie żądania, zawartym w piśmie wniesionym przez stronę w postępowaniu administracyjnym, decyduje ostatecznie strona, a nie organ, do którego pismo zostało skierowane, wskazał także Wojewódzki Sąd Administracyjny w Gliwicach (sygn. akt. IV SA/Gl 590/13).

Dlatego w przypadku, gdy osoba, której dane dotyczą, uważa, że konkretny administrator danych naruszył jej prawa albo przetwarza jej dane z naruszaniem przepisów o ochronie danych osobowych, ma prawo do złożenia skargi do Prezesa UODO, jak i do skierowania sprawy na drogę sądową. RODO daje w art. 79 prawo dochodzenia swoich praw zarówno przez organem nadzoru, jak i przed sądem. Skorzystanie z jednej z tych dróg, np. skargi do UODO, nie wyklucza równoległego dochodzenia swoich praw na drugiej drodze, czyli przed sądem.

Ponadto RODO umożliwia też dochodzenie przed sądem odszkodowania, jeżeli w wyniku naruszenia przez administratora przepisów tego rozporządzenia dana osoba poniosła szkodę majątkową lub niemajątkową (art. 82).

Urząd nie ma uprawnień śledczych

Trzeba sobie zdawać sprawę, że niekiedy dochodzi do naruszenia ochrony danych, np. ujawnienia dokumentów, informacji o zdrowiu, ale nie jest znany administrator, u którego wyciek tych danych nastąpił. Urząd stara się wówczas ustalić administratora, a gdy nie jest to możliwe to zawiadamia organy ścigania. Bez wiedzy kto jest administratorem nie jest możliwe wszczęcie postępowania z urzędu.

UODO nie jest organem ściągania i nie ma kompetencji śledczych, by w niektórych przypadkach zidentyfikować sprawcę takiego naruszenia. Takie uprawnienia oraz narzędzia do tego mają jedynie organy ścigania, jak policja czy prokuratura.

RODO to nie cenzura

Bardzo często dane osobowe są ujawnianie przez media. W art. 85 ust. 1 i ust. 2 RODO określono, że państwa członkowskie przyjmują w swoim porządku krajowym regulacje, które pozwolą pogodzić prawo do ochrony danych osobowych z wolnością wypowiedzi i informacji.

Polski ustawodawca w art. 2 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych przewidział wyłączenie art. 5-9, art. 11, art. 13-16, art. 18-22, art. 27, art. 28 ust. 2-10 oraz art. 30 RODO w stosunku do działalności „polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy z dnia 26 stycznia 1984 r. - Prawo prasowe”.

Dziennikarze w swojej pracy muszą mieć jednak na uwadze ograniczenia, jakie nakładają na nich przepisy ustawy – Prawo prasowe. Muszą więc m.in.: zachować szczególną staranność i rzetelność przy zbieraniu i wykorzystaniu materiałów prasowych, a także mieć na względzie ochronę dóbr osobistych (art. 12).

Przepisy tej ustawy zakazują publikowania informacji oraz danych dotyczących prywatnej sfery życia bez zgody osoby zainteresowanej, chyba że wiąże się to bezpośrednio z działalnością publiczną tej osoby (art. 14. ust. 6). Odpowiedzialność prawna za naruszenie prawa spowodowane opublikowaniem materiału prasowego przewidziana jest w przepisach rozdziału 7 i 8 Prawa prasowego.

W przypadku wszczęcia przez UODO postępowania wobec mediów ujawniających dane w ramach działalności dziennikarskiej prowadziłoby to do sytuacji, w której Prezes UODO nie mógłby ocenić legalności takiego przetwarzania danych w oparciu o przesłanki określone w art. 6 ust. 1 RODO, z uwagi na wyłączenie stosowania tego przepisu do tego rodzaju działalności i musiałby postępowanie umorzyć.

Polecamy serwis: Prawa konsumenta