Prawo: GDPR to nie wszystko

Piotr Gałązka
adwokat, dyrektor Przedstawicielstwa Związku Banków Polskich w Brukseli

Od kilku miesięcy trwa szum informacyjny wokół RODO. Zarówno ze strony instytucji unijnych i krajowych, jak i podmiotów prywatnych. Jedni starają się zapewnić jak najwięcej wiadomości o nadchodzących zmianach dla administratorów danych, inni natomiast straszą nowymi przepisami, zwłaszcza zaś wysokimi sankcjami za nieprawidłowe przetwarzanie informacji, reklamując przy okazji swoje usługi doradcze i prawne.

Rozporządzenie, choć bazuje na podobnych pryncypiach co dotychczasowa dyrektywa, rzeczywiście precyzuje wiele rzeczy i odnosi się do sposobów przetwarzania danych, które jeszcze kilka lat temu, a zwłaszcza w momencie uchwalania obecnej dyrektywy z 1995 r., nie były znane i wykorzystywane przez administratorów. Jednakże wiele zagadnień pozostawia niedoprecyzowanych bądź opiera się jedynie na klauzulach generalnych. Taki stopień szczegółowości w unijnych przepisach o ochronie danych osobowych był niezbędny, aby w ogóle można było to rozporządzenie uchwalić.

Pamiętajmy, że i tak prace legislacyjne od momentu publikacji projektu przez Komisję Europejską do jego uchwalenia przez Parlament Europejski i Radę trwały ponad cztery lata. Tyle czasu wymagało przeanalizowanie dziesiątków aspektów przetwarzania danych, których ma dotyczyć RODO. Aby zachować horyzontalny charakter rozporządzenia, które obejmuje swoim zakresem podmiotowym wszystkich administratorów (w tym administrację publiczną), niezbędne było stworzenie przepisów „pojemnych”, dalekich od kazuistyki, które mogą „pomieścić” w swoich dyspozycjach wszystkie możliwe okoliczności przetwarzania, a przy okazji takich, które będą odporne na zmiany, w tym technologiczne, a zatem będą użyteczne przez wiele lat i nie będzie potrzeby ich ciągłej nowelizacji.

Dlatego też część szczegółowych lub specyficznych przepisów sektorowych postanowiono doprecyzować w zalecaniach bądź też delegowano do uchwalenia przez poszczególne państwa członkowskie. Oczywiście stanowi to pewien wyłom w zasadzie, która przyświeca uchwaleniu RODO – by dane każdego obywatela UE były chronione tak samo bez względu na państwo – uznano wszakże, że to sposób na zachowanie balansu między harmonizacją a możliwością prawidłowego stosowania przepisów.

Oznacza to, że tworzenia całościowych i spójnych ram prawnych ochrony danych osobowych nie można uznać jeszcze za zakończone. Aby RODO mogło być prawidłowe i skuteczne zarówno dla konsumentów, jak i biznesu – niezbędne było, i jest, nie tylko współdziałanie ze strony instytucji europejskich – Komisji z Parlamentem Europejskim i Radą – lecz także administracji państw członkowskich, krajowych organów nadzorczych zajmujących się kwestiami przetwarzania danych osobowych, jak również przedstawicieli poszczególnych sektorów gospodarki oraz organizacji pozarządowych. Poniżej omówione zostaną najważniejsze dokumenty dotyczące ochrony danych osobowych na poziomie UE, które już zostały opracowane bądź są obecnie opracowywane, a mają zagwarantować pewność prawa w tym zakresie.

Prace grupy roboczej art. 29

Grupa artykułu 29 określana jest tak od przepisu art. 29 w dyrektywie 95/46/WE, którym powołano grupę roboczą ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych, będącą niezależnym organem doradczym. W jej skład wchodzą wszystkie krajowe organy ochrony danych, w tym Europejski Inspektor Ochrony Danych. Jej zadaniem zaś jest badanie stosowania przepisów ochrony danych osobowych w poszczególnych państwach, doradztwo Komisji Europejskiej w zakresie środkó...