Eksperci od ochrony danych osobowych z sektora publicznego i prywatnego byli gośćmi listopadowego XIX Forum ADO/ABI, które odbyło się w Centrum Promocji Informatyki. Patronami medialnymi wydarzenia były m.in. Portal ODO i Portal Prawa IT.
Tematem przewodnim były pierwsze doświadczenia w stosowaniu znowelizowanej ustawy o ochronie danych osobowych, transfer danych osobowych po wyroku w sprawie M. Schremsa oraz reforma prawa ochrony danych osobowych w Unii Europejskiej.
Reforma ochrony danych w UE
O aktualnym stanie prac w instytucjach UE nad ogólnym rozporządzeniem o ochronie danych osobowych oraz niezbędnych działaniach przygotowawczych w zakresie wdrażania nowych przepisów w Polsce mówił Michał Czerniawski z Departamentu Społeczeństwa Informacyjnego Ministerstwa Administracji i Cyfryzacji. Dużo uwagi poświęcił on tym propozycjom zmian, które wzbudzały największe kontrowersje. To kwestia obowiązkowego i fakultatywnego powoływania inspektora ochrony danych osobowych, zakres obowiązku informacyjnego wobec podmiotu danych, sprawa słusznych interesów administratora, profilowanie, zmiany w zasadach transferów danych do państw trzecich.
Michał Czerniawski wskazywał również na te obszary regulacji w rozporządzeniu, które państwa członkowskie będą mogły wyłączyć lub uregulować odrębnie, stawiając jednocześnie pytanie o to, czy akt nad którym prace trwają to jeszcze rozporządzenie czy już akt dyrektywo-podobny oraz o to, jaki będzie rzeczywisty stopień harmonizacji wprowadzony przez Rozporządzenie.
Jako następny głos zabrał adwokat dr Grzegorz Sibiga (Instytut Nauk Prawnych PAN w Warszawie, Traple, Konarski, Podrecki i Wspólnicy), który opisał uczestnikom zmiany przewidziane przez projekty rozporządzenia w odniesieniu do inspektora ochrony danych osobowych. Prelegent omówił zarówno przepisy dyrektywy 95/46/WE i regulację dotyczącą urzędnika ds. ochrony danych tam zawartą, jak i nowe zasady pełnienia funkcji administratora bezpieczeństwa informacji, obowiązujące od 1 stycznia 2015 roku. Dr Sibiga mówił również o wszystkich aspektach pełnienia funkcji inspektora ochrony danych, przewidzianych w rozporządzeniu. I tak, wskazywał, że regulacją objęte będą kwalifikacje osoby, która będzie miała pełnić funkcję DPO, warunki i gwarancje prawidłowego sprawowania tej funkcji, a także zadania DPO. Omawiał również kwestie, które nie są jeszcze ostatecznie uzgodnione jak m.in. sam obowiązek lub fakultatywność powoływania DPO oraz te, które są wspólne dla propozycji Komisji, Rady i Parlamentu jak np. niezależność DPO czy obowiązek informowania organu nadzorczego oraz opinii publicznej o danych kontaktowych inspektora.
Z ABI czy bez ABI?
Drugi panel Forum poświęcony był dyskusji o tym, czy powoływać czy nie powoływać ABI oraz konsekwencjom tych decyzji. Jako pierwszy swoją prezentację przedstawił radca prawny dr Arwid Mednis (kancelaria Wierzbowski Eversheds). Argumentował, że w jego ocenie administratora bezpieczeństwa informacji powinien powołać ten administrator danych, który przetwarza dane objęte tajemnicą zawodową lub sektorową, dane wrażliwe lub dane, których ujawnienie mogłoby narazić podmioty danych na straty finansowe, przy przetwarzaniu dużych zbiorów danych, a także gdy dane stanowią główny przedmiot działalności danego administratora. Podkreślał też konieczność zmiany nastawienia ADO do ABI m.in. poprzez zwiększanie świadomości istnienia oraz treści przepisów o ochronie danych, uświadamianie celu ochrony danych i prawa do prywatności. Jako ważny element, który może pomóc w zrozumieniu potrzeby powoływania ABI dr Mednis wskazał również planowane wprowadzenie kar finansowych.
O swoich spostrzeżeniach dotyczących pierwszych doświadczeń w przeprowadzaniu sprawdzeń przestrzegania przepisów o ochronie danych osobowych mówił Maciej Byczkowski (European Network Security Institute). Przedstawił on wymogi prowadzenia sprawdzeń z uwzględnieniem sprawdzeń wykonywanych także u procesorów oraz podstawowe zasady, którymi musi kierować się ABI prowadząc sprawdzenie. Byczkowski omówił zasady przygotowywania planów sprawdzeń, ich przykładowy zakres oraz realizację obowiązku opracowania sprawozdania. Nie zabrakło informacji o tym, jak przeprowadzane są sprawdzenia u ADO, który nie powołał ABI. Prelegent podzielił się też swoimi doświadczeniami z sprawdzeń, które przeprowadził.
O sposobie i zasadach prowadzenia przez ABI rejestru zbiorów danych w praktyce mówił z kolei Maciej Kołodziej (ABI w IAB Polska oraz wiceprezes Stowarzyszenia Administratorów Bezpieczeństwa Informacji). Maciej Kołodziej omówił relację między wykazem zbiorów i rejestrem zbiorów. Pokazał przykładowe wykazy zbiorów. Opisał zasady realizacji obowiązków rejestracyjnych, zarówno w formie rejestrów prowadzonych przez ABI, jak zgłaszania zbiorów do rejestru prowadzonego przez Generalnego Inspektora Ochrony Danych Osobowych. Szczególną uwagę poświęcił oczywiście rejestrowi zbiorów prowadzonemu przez ABI. Wskazał zakres informacji podlegających ujawnieniu w rejestrze i zasady dostępu do rejestru. Na zakończenie pokazał i omówił przykłady opracowania i publikacji rejestrów zbiorów przez ABI ze wskazaniem dobrych i złych przykładów oraz zalecanych praktyk.
Na zakończenie – o państwach trzecich
Ostatni panel poświęcony był transferom danych do państw trzecich po wyroku Trybunału Sprawiedliwości UE w sprawie M. Schremsa. O praktycznych konsekwencjach wyroku mówił adwokat Xawery Konarski (Traple, Konarski, Podrecki i Wspólnicy). Prezentacja rozpoczęła się od powołania pewnych kluczowych informacji nt. zasad funkcjonowania mechanizmu Safe Harbour. Adw. Xawery Konarski dokładnie omówił również stan faktyczny sprawy Schrems vs Data Protection Commissioner i samo rozstrzygnięcie Trybunału. Dużo uwagi poświęcił praktycznemu wymiarowi wyroku wskazując m.in. na nieprawidłowość praktyki „automatycznego” odrzucania skarg podmiotów danych na brak odpowiedniej ochrony w państwach, w przypadku których wydane zostały decyzje Komisji stwierdzające adekwatność ochrony. Podkreślił również ryzyko fragmentaryzacji ochrony danych osobowych w UE i stan niepewności prawnej w przypadku posługiwania się innymi podstawami transferów danych do państw trzecich. Prelegent podzielił się również swoimi spostrzeżeniami, co do tego, czego można spodziewać się po wyroku zarówno na poziomie biznesowym, jak i regulacyjnym.
Ostatnie wystąpienie adwokata dr Jana Byrskiego (Uniwersytet Ekonomiczny w Krakowie, Traple, Konarski, Podrecki i Wspólnicy) dotyczyło warunków przekazywania danych osobowych do państw trzecich. Prezentacja dr Byrskiego rozpoczęła się od omówienia podstaw prawnych transferów danych do państw trzecich, wynikających z polskiej ustawy o ochronie danych osobowych. Mowa była zarówno o zgodzie podmiotu danych, jaki zgodzie organu nadzorczego na transfer danych. Nie zabrakło zasad korzystania ze standardowych klauzul umownych czy wiążących reguł korporacyjnych. Prelegent zwrócił też uwagę na praktyczne aspekty stosowania krajowych wiążących reguł korporacyjnych i zagranicznych wiążących reguł korporacyjnych. To wystąpienie zakończyło obrady Forum.
Nie zabrakło dyskusji samych prelegentów, ale i pytań od publiczności. Ciekawe rozmowy odbywały się również w kuluarach. Spotkanie było dobrą okazją do wymiany wątpliwości, poglądów i spostrzeżeń, dotyczących dynamicznie zmieniających się ram ochrony danych osobowych.
Masz pytania dotyczące tematu artykułu? Skontaktuj się z autorem.
Katarzyna Witkowska-Nowakowska
Prawnik
