Rozmowa z Andrzejem Orylem, radcą prawnym specjalizującym się w prawie nowoczesnych technologii, prawie autorskim i przetwarzaniu danych osobowych 

Robert Horbaczewski: Jakie uprawnienia w zakresie ochrony danych osobowych RODO przyznaje organizacjom społecznym?
Andrzej Oryl: RODO przede wszystkim gwarantuje prawa osób, których dane są przetwarzane, jednakże w motywie 142 wyraźnie wskazano, że osoby takie powinny mieć prawo uzyskania wsparcia organizacji społecznych w ochronie swoich praw zarówno w postępowaniu przed tzw. organem nadzorczym jak i w postępowaniu sądowym.
 
Jak dokładnie miałoby wyglądać wsparcie udzielane przez organizację społeczną?
W myśl art. 80 ust. 1 RODO osoba, której dane dotyczą, ma prawo umocować podmiot, organizację lub zrzeszenie do wniesienia w jej imieniu skargi do organu nadzorczego na przetwarzanie danych jej dotyczących, naruszające RODO (art. 77). Po drugie ma prawo zaskarżenia decyzji wydanej przez organ nadzorczy w wyniku rozpoznania wspomnianej skargi, bądź zaskarżenia bezczynności lub opieszałości takiego organu, o czym mowa w art. 78. Po trzecie realizacji środka ochrony prawnej przed sądem przeciwko administratorowi lub podmiotowi przetwarzającemu, co przewiduje art. 79. Choć redakcja przepisu pozostawia sporo do życzenia, w świetle brzmienia motywu 142, wydaje się, iż uprawnienia te wynikają wprost z RODO. Poza nimi RODO wskazuje także dalsze uprawnienia, ale ich przyznanie organizacjom społecznym uzależnione jest jednak od prawa krajowego. 



O jakie dodatkowe uprawienia może chodzić?
Organizacje społeczne mogą także występować w imieniu osoby, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, o odszkodowanie od administratora lub podmiotu przetwarzającego. Co więcej, w myśl art. 80 ust. 2 państwa członkowskie mogą również przewidzieć, że organizacje społeczne mają – niezależnie od upoważnienia otrzymanego od osoby, której dane dotyczą – prawo samodzielnego wniesienia skargi do organu nadzorczego oraz wykonać prawa, o których mowa w art. 78 i 79, jeżeli uznają, że w wyniku przetwarzania naruszone zostały prawa osoby, której dane dotyczą. Innymi słowy RODO dopuszcza możliwość, iż organizacje społeczne mogą podejmować działania również we własnym imieniu.

Czy polski prawodawca skorzystał z opcji, przyznania organizacjom społecznym wspomnianych dodatkowych uprawnień?
Upubliczniony projekt ustawy o ochronie danych osobowych w art. 16 stanowi, że gdy prawa osoby przysługujące na mocy przepisów o ochronie danych osobowych zostały naruszone, organizacja społeczna może występować z żądaniem: wszczęcia postępowania, dopuszczenia jej do udziału w postępowaniu, jeżeli jest to uzasadnione celami statutowymi tej organizacji i gdy przemawia za tym interes osoby, której prawa zostały naruszone. Na bazie przepisów prawa o postępowaniu przed sądami administracyjnymi organizacje społeczne miałyby również w tym zakresie prawo złożenia skargi do sądu administracyjnego. Projekt nie wspomina natomiast o możliwości działania organizacji przed sądami cywilnymi w tym występowania o odszkodowania. Do rozpoczęcia stosowania RODO pozostały jeszcze ponad dwa miesiące. Możliwe zatem, że stosowne regulacje zostaną wydane. Intencje polskiego ustawodawcy nie są jednak w tym zakresie jasne. Możliwe, iż legislatorzy obawiają się powtórzenia sytuacji jaka miała miejsce po wprowadzeniu w KPC możliwości działania organizacji w sprawach z zakresu ochrony konsumentów. Wtedy aktywność organizacji prokonsumenckich istotnie utrudniła działalność wielu przedsiębiorcom.
Brak regulacji może zatem być podyktowany wolą ochrony polskich przedsiębiorców ?
Ostatnie doniesienia medialne wskazują, iż interesy polskich przedsiębiorców są kwestią, która jest poważnie brana pod uwagę przy projektowaniu krajowych regulacji dotyczących danych osobowych.

Czy jest to prawidłowe podejście, zgodne z RODO?
Teoretycznie nie, ponieważ kierunkowo RODO ma na celu ochronę osób fizycznych, których dane są przetwarzane a nie ochronę interesów administratorów danych. W praktyce jednak należy pamiętać, iż  sama możliwość spowodowania przez organizację społeczną postępowania organu nadzorczego, w wyniku którego nałożone zostaną kary sięgające 10 bądź 20 milionów Euro jest środkiem nacisku o olbrzymiej sile oddziaływania. Nawet zatem bez dodatkowych uprawnień organizacje społeczne będą dysponowały skutecznymi środkami wpływania na praktyki przetwarzania danych.

Czy organizacje społeczne muszą spełnić jakieś szczególne warunki aby wykonywać prawa, o których rozmawiamy?
Zgodnie z RODO zarówno podstawowe jak i warunkowe uprawnienia przysługują, podmiotom, organizacjom lub zrzeszeniom – które nie mają charakteru zarobkowego, zostały należycie ustanowione zgodnie z prawem państwa członkowskiego, mają cele statutowe leżące w interesie publicznym i działają w dziedzinie ochrony praw i wolności osób, których dane dotyczą, w związku z ochroną ich danych osobowych.