W Październikowym Newsletterze Urząd Ochrony Danych Osobowych przedstawia nam, dlaczego i na jakiej podstawie pozycja IOD powinna zostać wzmocniona, MSWiA zapowiada zmiany w ustawie wdrażającej dyrektywę policyjną oraz francuski organ ukarał spółkę za nieodpowiednie przetwarzanie danych geolokalizacyjnych.
Niedawny wyrok Trybunału Sprawiedliwości Unii Europejskiej z 22 czerwca 2022 roku w sprawie C-534/20 Leistritz, w którym trybunał udzielił odpowiedzi na pytanie, czy art. 38 ust 3 zdanie drugie RODO „Nie jest on [IOD] odwoływany, ani karany przez administratora ani podmiot przetwarzający za wypełnianie swoich zadań” należy interpretować jako przeszkoda dla przepisów krajowych, na mocy których niedozwolone jest wypowiedzenie w zwyczajnym trybie stosunku pracy IOD przez administratora lub podmiot przetwarzający, jeżeli są jego pracodawcami, niezależnie czy następuje to w wyniku wykonywania przez niego zadań.
TSUE w swoim wyroku wskazało między innymi na trzy rzeczy. Po pierwsze, art. 38 ust. 3 RODO ma zastosowanie do każdych stosunków między IOD, a administratorem lub podmiotem przetwarzającym niezależnie od ich charakteru stosunku pracy jaki ich łączy. Po drugie, trybunał podziela opinie rzecznika generalnego według której każde państwo członkowskie może przy wykonywaniu swoich kompetencji, ustanowić przepisy szczególne zapewniające większą ochronę w zakresie rozwiązywania stosunku pracy IOD, jeżeli są one zgodne z przepisami RODO. Po trzecie, wykładnia art. 38 ust. 3 RODO nie stoi na przeszkodzie uregulowaniu krajowemu, które przewiduje, że administrator lub podmiot przetwarzający może rozwiązać stosunek pracy z inspektorem ochrony danych, będącym członkiem jego personelu, jedynie z ważnej przyczyny, nawet jeśli rozwiązanie stosunku pracy nie jest związane z wypełnianiem przez tego inspektora jego zadań, o ile takie uregulowanie nie zagraża realizacji celów RODO.
Taką interpretację art. 38 ust. 3 zdanie drugie RODO w pełni popiera Urząd Ochrony Danych Osobowych. Wskazuje przy tym, że jest to ogólne wskazanie zasady jaką powinny kierować się państwa, w związku z czym RODO nie stoi na przeszkodzie odpowiedniemu przepisowi w prawie krajowym zwiększającego ochronę IOD, zwłaszcza że ta kwestia nie jest należycie uregulowana w polskich przepisach prawa, zarówno w przypadkach stosunku pracy i umowy o świadczenie usług. Wzmocnieniu pozycji IOD sprzyjają przepisy prawa pracy, szczególnie art. 18 KP, który realizuje zasadę uprzywilejowania pracownika, co może mieć znaczenie dla zmiany takich sytuacji, jak brak podstaw prawnych dających IOD roszczenie przywrócenie do pracy lub odszkodowanie, gdy jest związany umową o prace na czas określony i wypowiedzenie nastąpiło bez naruszenia przepisów o wypowiedzeniu z KP, ale z naruszeniem art. 38 ust. 3 RODO.
Ministerstwo Spraw Wewnętrznych i Administracji w odpowiedzi na wstąpienie prezesa UODO, w którym wskazywał konieczność zmian w ustawie z dnia 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości (wdrażającej do polskiego porządku prawnego tzw. dyrektywę policyjną, czyli dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającej decyzję ramową Rady 2008/977/WSiSW) z powodu niewłaściwego formułowania niektórych przepisów, co prowadzi do błędnego przypisania zadań IOD oraz braku precyzyjnych przepisów dotyczących zawiadomień do IOD. MSWiA pozytywnie się odniosło jedynie co do sugestii zmiany przepisów dotyczących zadań Inspektora Danych Osobowych i zadeklarowało ich zmianę przy okazji podobnych zmian w innych ustawach.
Francja: organ nadzorczy ukarał spółkę UBEEQO Internationale, zajmującą się krótkookresowym wynajmem pojazdów, administracyjną karą pieniężną w wysokości 175 tys. € za nieprawidłowe przetwarzanie danych globalizacyjnych, a dokładnie doszło do złamania zasady minimalizacji danych (art. 5 ust. 1 lit. c RODO), nie określono proporcjonalnego okresu zatrzymania danych (art. 5 ust. 1 lit. e RODO) i nie poinformowano osób, których dane dotyczą (art. 12 RODO).
Źródło: uodo.gov.pl
