Ogólne rozporządzenie o ochronie danych (RODO) zrobiło wielką furorę dzięki sankcjom, które zostały przewidziane za naruszenie jego przepisów. Do świadomości przedsiębiorców trafiła wiedza na temat administracyjnych kar pieniężnych sięgających nawet 20 mln euro. Tymczasem poza tą świadomością wciąż pozostaje środek prawny, który każdego przedsiębiorcę może doprowadzić do upadłości jeszcze przed nałożeniem jakiejkolwiek kary.
Mowa tutaj o instytucji czasowego ograniczenia przetwarzania danych osobowych na podstawie przepisów ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (dalej: u.o.d.o.). Zgodnie bowiem z art. 70 ust. 1 u.o.d.o. w toku postępowania Prezes Urzędu Ochrony Danych Osobowych może zobowiązać w drodze postanowienia podmiot, któremu jest zarzucane naruszenie przepisów o ochronie danych, do ograniczenia przetwarzania danych osobowych. W praktyce organ nadzorczy może czasowo zakazać administratorowi danych prowadzenia działalności gospodarczej w toku postępowania w sprawie naruszenia przepisów o ochronie danych i to jeszcze zanim stwierdzi takie naruszenie. Stanie się tak niechybnie jeśli przykładowo Prezes Urzędu zakaże przechowywania danych osobowych klientów, w efekcie czego należałoby te dane usunąć. Sankcja ta może zatem być bardziej dotkliwa niż kara pieniężna, orzeczenia której przedsiębiorca może nawet nie doczekać.
Oczywiście, aby omawiana dolegliwość spotkała przedsiębiorcę, najpierw w stosunku do niego musi zostać wszczęte postępowanie w przedmiocie naruszenia przepisów o ochronie danych osobowych (np. na skutek kontroli), a następnie zaistnieć muszą łącznie trzy przesłanki formalne:
w toku postępowania zostanie uprawdopodobnione, że przetwarzanie danych osobowych narusza przepisy o ochronie danych osobowych (organ nadzorczy zatem nie musi mieć pewności co do naruszenia ani dowodów na to);
dalsze przetwarzanie danych może spowodować poważne i trudne do usunięcia skutki;
ograniczenia przetwarzania będzie służyło zapobieżeniu tym skutkom.
W wydanym postanowieniu Prezes Urzędu określa dopuszczalny zakres przetwarzania danych (jakie czynności przetwarzania mogą być podejmowane przez adresata postanowienia) oraz termin obowiązywania ograniczenia przetwarzania danych osobowych - nie dłuższy niż do dnia wydania decyzji kończącej postępowanie w sprawie (art. 70 ust. 2 u.o.d.o.). Zgodnie z treścią art. 35 § 1 Kodeksu postępowania administracyjnego w zw. z art. 68 ust. 2 u.o.d.o. postępowanie przed organem nadzorczym winno zostać zakończone maksymalnie w ciągu 2 miesięcy od dnia jego wszczęcia, jednak nie od dziś wiadomo, że nieodłącznym towarzyszem postępowań administracyjnych jest przewlekłość, z którą ewidentnie nie radził sobie poprzedni organ nadzorczy (postępowania przed GIODO trwały średnio od 9 do 12 miesięcy). Przedłużające się wraz z postępowaniem ograniczenie przetwarzania danych doprowadzić może adresata omawianej sankcji na skraj bankructwa. Pozostaje mieć tylko nadzieję, iż organ nadzorczy będzie traktował omawiany środek jako ostateczność, a stosując go, nie będzie rozciągał czasu jego trwania do dopuszczalnego maksimum.
Na postanowienie w przedmiocie ograniczenia przetwarzania danych przysługuje skarga do sądu administracyjnego (art. 70 ust. 3 u.o.d.o.). Poważne konsekwencje wydania tego rodzaju postanowienia uzasadniają sądową kontrolę jego legalności. Jednak problematyczna jest tutaj kwestia wykonalności nałożonej sankcji, bowiem postanowienie Prezesa Urzędu wydane na podstawie art. 70 ust. 1 u.o.d.o. jest natychmiast wykonalne, a wniesienie skargi do sądu nie wstrzymuje wykonalności tego orzeczenia (zgodnie z art. 61 § 1 Prawa o postępowaniu przed sądami administracyjnymi – dalej: p.p.s.a.). Inaczej jest w wypadku decyzji PUODO o nałożeniu kary pieniężnej, której wykonalność zostaje wstrzymana przez samo wniesienie skargi do sądu (art. 74 u.o.d.o.). W wypadku gdy przedsiębiorca spotka się już z postanowieniem Prezesa Urzędu czasowo ograniczającym przetwarzanie danych nie pozostanie mu nic innego, jak złożyć do sądu – wraz ze skargą – wniosek o wstrzymanie wykonalności zaskarżonego postanowienia na podstawie art. 61 § 3 p.p.s.a. Wniosek taki warto złożyć jednocześnie także do Prezesa Urzędu na podstawie art. 61 § 2 pkt 1 p.p.s.a. Na marginesie warto zaznaczyć, iż wstrzymanie wykonalności omawianego postanowienia może zostać orzeczone przez PUODO także z urzędu, czyli bez wniosku skarżącego, jednak z oczywistych względów adresatom postanowienia zaleca się podjęcie aktywności w składaniu wszelkich dostępnych środków prawnych.
Na zakończenie wspomnieć należy, iż od omawianego w niniejszym wpisie czasowego ograniczenia przetwarzania danych osobowych odróżnić należy przewidziane w RODO czasowe lub całkowite ograniczenie przetwarzania, w tym zakaz przetwarzania danych (art. 58 ust. 2 lit. f RODO), które jest środkiem naprawczym orzekanym (obok lub zamiast kar pieniężnych) w decyzji kończącej postępowanie prowadzone przez PUODO.
Data publikacji: 12.12.2018.