Niepokojące orzeczenie NSA może podważyć ochronę danych osobowych w Polsce
W ostatnim czasie, Prezes Urzędu Ochrony Danych Osobowych (UODO) wyraził głębokie zaniepokojenie w piśmie skierowanym do Prezesa Naczelnego Sądu Administracyjnego (NSA). Niepokój ten dotyczy niebezpiecznego kierunku, w jakim zmierza interpretacja kompetencji i pozycji ustrojowej organu nadzorczego w świetle praw osób, których dane osobowe zostały naruszone.
W tym tekście (3)
Niezależność UODO zakwestionowana
Prezes UODO podkreśla, że NSA kwestionuje niezależność organu nadzorczego, jego kompetencje oraz kwalifikacje merytoryczne pracowników, co jest niezbędne do wykonywania zadań, do których UODO został powołany. Sprawa dotyczy orzeczenia NSA w sprawie kary nałożonej przez UODO na spółkę Morele.net.
Zdaniem NSA, przyczyną uchylenia decyzji UODO było oddalenie wniosku o przeprowadzenie dowodu z opinii biegłego w kontekście standardów technicznych i organizacyjnych stosowanych przez spółkę.
Pracownicy UODO posiadają wieloletnie doświadczenie w kontroli i prowadzeniu postępowań wobec podmiotów przetwarzających dane osobowe. W oparciu o wypracowaną unikalną wiedzę instytucjonalną, pracownicy UODO są w stanie samodzielnie ocenić stosowanie środków technicznych i organizacyjnych w systemach informatycznych. Co istotne, NSA przed wejściem w życie RODO nie kwestionował kompetencji pracowników Biura GIODO (dawne UODO) do kontroli i prowadzenia postępowania wobec podmiotów przetwarzających dane w systemach informatycznych.
Chodzi o Morele.net
Przypomnijmy, że w 2019 roku UODO nałożył na spółkę Morele.net karę w wysokości ponad 2,8 mln zł. Zdaniem Urzędu, środki organizacyjne i techniczne zastosowane przez spółkę nie były odpowiednie do istniejącego ryzyka związanego z przetwarzaniem danych, przez co dane około 2 mln 200 tys. osób dostały się w niepowołane ręce. NSA swoim orzeczeniem pominął prawa tych osób, które ponieść mogą dotkliwe konsekwencje związane z nieuprawnionym dostępem do ich danych.
W 2020 roku Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę Morele.net i uznał, że decyzja o karze nałożonej na spółkę była zasadna. WSA podzielił wtedy stanowisko organu nadzorczego, iż zastosowane przez spółkę środki techniczne i organizacyjne okazały się nieskuteczne w celu ochrony danych osobowych klientów.
Konsekwencje
Przyjęcie stanowiska NSA wyrażonego w wyroku, które kwestionuje kompetencje UODO i podważa jego niezależność, może mieć poważne konsekwencje dla ochrony danych osobowych w Polsce. W praktyce, uniemożliwienie organowi samodzielnego funkcjonowania i rozstrzygania spraw z zakresu ochrony danych osobowych w systemach informatycznych prowadziłoby do pozbawienia skutecznej ochrony praw osób, których dane są przetwarzane. Taka sytuacja byłaby niezgodna z przepisami Traktatu o funkcjonowaniu Unii Europejskiej, Karty praw podstawowych Unii Europejskiej i RODO.
Warto zauważyć, że decyzja NSA może również podważyć zaufanie do instytucji odpowiedzialnych za ochronę danych osobowych w Polsce oraz wywrzeć presję na zmianę praktyk stosowanych przez podmioty przetwarzające dane. Ponadto, może to wpłynąć na obowiązki spółek w zakresie zabezpieczania danych osobowych klientów oraz utrudnić egzekwowanie przez UODO przepisów o ochronie danych osobowych.
W świetle powyższego, kluczowe jest, aby organy nadzorcze, takie jak UODO, utrzymywały swoją niezależność i kompetencje w celu zapewnienia skutecznej ochrony danych osobowych. Jednocześnie, to ważne wyzwanie dla systemu sądownictwa, aby wyważyć potrzebę respektowania praw osób, których dane zostały naruszone, z równoczesnym poszanowaniem niezależności i kompetencji organów nadzorczych.