Kary pieniężne, czyli to czego wszyscy obawiali się najbardziej
10, 20 milionów euro czy nawet 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego – takimi wysokościami kar straszono w 2017 i 2018 roku. Wysokie potencjalne kary pieniężne spędzały sen z powiek zarządów, skraplały pot na skroniach księgowych oraz dyrektorów finansowych i wreszcie powodowały mściwy uśmiech szeregowego obywatela UE, który właśnie zakończył piątą niezamówioną rozmowę z telemarketerem. Szumne zapowiedzi kar okazały się trafione tylko w części – naprawdę dużymi karami oberwali w zasadzie wyłącznie giganci internetowi, ale nie jest pewne czy te kary ich zabolały. W Polsce kar nie było dużo, a też ich wysokość nie okazała się szczególnie przerażająca.
Z udostępnionych danych na temat aktywności Prezesa Urzędu Ochrony Danych Osobowych wynika, że w okresie od 25 maja 2018 r., tj., odkąd stosuje się RODO, do 31 marca 2022 r. Prezes Urzędu Ochrony Danych Osobowych wydał 41 decyzji administracyjnych nakładających karę pieniężną za naruszenie RODO. Jednocześnie na podstawie opublikowanych statystyk można oszacować, że w tym czasie do Prezesa UODO zgłoszono nawet 40 tysięcy naruszeń. Jedna kara pieniężna na tysiąc naruszeń to stosunkowo niewiele. Dodatkowo wiele z tych kar zostało uchylonych przez sądy administracyjne, a więc liczba kar zapłaconych i ostatecznych jest sporo niższa.
Czy to źle? Absolutnie nie.
Upomnienia zamiast kar, czyli jak w rzeczywistości działa Prezes UODO
RODO poza możliwością nałożenia kary pieniężnej daje organom nadzorczym także inne, mniej działające na wyobraźnię uprawnienia, które jednak mogą być nie mniej skuteczne. Zaliczamy do nich przede wszystkim decyzje nakazujące oraz upominające. Decyzje nakazujące mogą dotyczyć m.in. realizacji praw osób, których dane dotyczą, nakazania zawiadomienia o naruszeniu, czy wreszcie dostosowania operacji przetwarzania do przepisów RODO (Prezes UODO może wskazać nawet stosowny termin i sposób dostosowania). Z kolei decyzje upominające stwierdzają, że doszło do naruszenia, ale jego skala, charakter czy aktywność administratora lub podmiotu przetwarzającego w toku postępowania wskazują na to, że wystarczy upomnienie.
Z danych na temat aktywności Prezesa UODO wynika, że np. w roku 2020 Prezes UODO skorzystał z przysługujących mu uprawnień naprawczych ponad 520 razy, z czego około 140 razy wydał decyzję nakazującą, a około 380 decyzję upominającą. Z kolei w roku 2021, Prezes UODO skorzystał z uprawnień naprawczych ponad 780 razy, przy czym wydał około 250 decyzji nakazujących i 530 decyzji upominających. Co istotne, tendencja do wykonywania przez Prezesa UODO uprawnień naprawczych poprzez wydawanie decyzji nakazujących i upominających, zdaje się nie słabnąć, gdyż już w pierwszym kwartale 2022 r., Prezes UODO wydal 60 decyzji nakazujących i ponad 180 decyzji upominających.
Przytoczone statystyki dają podstawę, aby stwierdzić, że nakładane przez Prezesa Urzędu Ochrony Danych Osobowych kary pieniężne dotyczą głównie spraw o najpoważniejszym charakterze, tj. przede wszystkim spraw, w których w wyniku naruszenia ochrony danych osobowych istotnie zagrożone zostały prawa i wolności osób fizycznych.
Takie działania Prezesa UODO (decyzje nakazujące i upomnienia) zasługują na pochwałę, bo mają ogromny walor edukacyjny i pokazują, że mimo wszystko RODO nie jest maszynką do karania przedsiębiorców. Jako praktycy życzylibyśmy sobie jednak, aby nieco więcej decyzji Prezesa UODO było publikowanych i omawianych na stronie internetowej Urzędu.
Czytaj więcej
Jakie RODO jest każdy widzi, czyli kilka gorzkich słów
RODO było reklamowane jako „inteligentny akt prawny”, czyli akt prawny, który poprzez użyty w nim język ma sam dostosować się do zmieniającej się rzeczywistości technologicznej. Być może w tej kwestii jest nieźle, ale tej „inteligencji” zabrakło w kilku miejscach, choćby w kwestii pewnych formalnych obowiązków, które są podobne w przypadku bardzo dużego przedsiębiorstwa z branży internetowej lub technologicznej, jak i jednoosobowego gabinetu fryzjerskiego (np. obowiązki informacyjne). Czy tak powinno być? Raczej nie.
Autopromocja
Wyjątkowa okazja
Roczny dostęp do treści rp.pl za pół ceny
KUP TERAZ
Próg wejścia w zrozumienie RODO, ujęcie tematu ochrony danych osobowych i wymogów dotyczących np. privacy by design jest dość wysoki i nie wszyscy administratorzy danych byli w stanie samodzielnie poradzić sobie ze spełnieniem podstawowych wymogów RODO. Czy możemy jednak wymagać, aby malutki sklep internetowy podołał tym wymogom samodzielnie, gdy do dziś dnia na stronie ZUS – dysponującego przecież olbrzymim budżetem – można znaleźć prośbę czy też wymóg zupełnie zbędnego udzielenia zgody, a jeszcze niedawno ta zgoda była oparta o uchyloną w 2018 roku ustawę o ochronie danych osobowych z 1997 roku?
Największą wadą RODO jest jego stosunkowo niewielka skalowalność. Naszym zdaniem mikro i mali przedsiębiorcy powinni być (z zastrzeżeniem skali i kontekstu przetwarzania) zwolnieni z części obowiązków wskazanych w RODO. Alternatywnie, organ nadzorczy (w Polsce Prezes Urzędu Ochrony Danych Osobowych) mógłby wypracować narzędzia wspierające wdrożenie i stosowanie RODO dla mikro i małych przedsiębiorców z pewnych branż (np. produkcyjnej, sklepów czy sklepów internetowych). Dzięki temu zyskaliby oni pewne rozwiązanie do samodzielnego dostosowania do swoich warunków i procesów przetwarzania, zamiast mozolnych godzin spędzonych na lekturze RODO i artykułów specjalistycznych. Taką rolę miały pełnić zatwierdzany przez krajowe organy nadzorcze kodeksy postępowań, jednak do chwili obecnej nie udało się w Polsce zatwierdzić nawet jednego kodeksu postępowania a przedłożono ich zaledwie siedem (https://uodo.gov.pl/pl/426/1109).
Świadomość, czyli co RODO robi dobrze i źle zarazem
Największej wartości dodanej przez RODO należy upatrywać w zwiększonej świadomości tego, jak ważną kwestią w społeczeństwie informacyjnym jest ochrona danych osobowych. Oczywiście, ta świadomość nie jest idealna i wymaga dalszych działań edukacyjnych, ale niewątpliwie RODO przyczyniło się do popularyzacji tematu ochrony danych osobowych – słowo „dane (RODO)” znalazło się nawet na drugim miejscu w plebiscycie na Słowo Roku 2018. Świadome społeczeństwo chętniej spojrzy na informację o przetwarzaniu danych osobowych, zastanowi się, po co ma podawać konkretne dane osobowe, a przy zawiadomieniu o naruszeniu – podejmie środki zaradcze.
O tę świadomość należy jednak w dalszym ciągu dbać i rozwijać ją wśród wszystkich pokoleń. Konieczne jest także przebicie się do mainstreamu z przekazem, że zgoda to nie jedyna podstawa prawna do przetwarzania danych, a skarga … czytaj dalej
Zgłoś naruszenie/Błąd
Pozytywnie
Neutralnie 
Negatywnie
Lubię to!
Super
Ekscytujący 
Ciekawy
Smieszny
Smutny
Wściekły
Przerażony
Szokujący
Wzruszający
Rozczarowany
Zaskoczony
Prawda
Manipulacja
Fake news
Oryginalne źródło ZOBACZ
Dodaj kanał RSS
Musisz być zalogowanym aby zaproponować nowy kanal RSS