Dr hab. Fryderyk Zoll, prof. UJ i ALK

1. Dr hab. Fryderyk Zoll, prof. UJ i ALK Ocena zgodności polskiej ustawy o ochronie danych osobowych z Dyrektywą

2. Kwestia zgodności ustawy o ochronie danych osobowych z Dyrektywą • Problem minimalnego czy maksymalnego charakteru Dyrektywy • Znaczenie motywu 10 Dyrektywy: „(…) zbliżanie ustawodawstwa nie powinno wpłynąć na zmniejszenie ochrony, jaką gwarantują (ustawodawstwa krajowe – przyp. FZ), lecz przeciwnie, musi dążyć do zapewnienia jak najwyższego stopnia ochrony we Wspólnocie • Motyw 10 jako dozwolenie na bardziej korzystne ukształtowanie modelu ochrony danych osobowych przez ustawodawcę krajowego? • Motyw 10 jako postulat osiągnięcia możliwie najwyższego stopnia ochrony w samej dyrektywie. Fryderyk Zoll, Uniwersytet Jagielloński

3. Kwestia zgodności ustawy o ochronie danych osobowych z Dyrektywą • Motyw 10 jako niewystarczająca podstawa do przyjęcia minimalnego charakteru Dyrektywy • Stosowanie przez ustawodawcę wspólnotowego innych technik oznaczania dyrektyw jako minimalnych • Dwie funkcje Motywu 10 • Dozwolenie na utrzymanie dotychczasowych korzystniejszych przepisów • Wskazówka interpretacyjna dla samej Dyrektywy Fryderyk Zoll, Uniwersytet Jagielloński

4. Kwestia zgodności ustawy o ochronie danych osobowych z Dyrektywą • Cel dyrektywy jakim jest zapewnienie swobodnego przepływu danych osobowych z jednego kraju do drugiego przy zapewnieniu ochrony podstawowych praw osób fizycznych (Motyw 3) wymaga w zasadzie maksymalnego charakteru dyrektywy Fryderyk Zoll, Uniwersytet Jagielloński

5. Kwestia zgodności ustawy o ochronie danych osobowych z Dyrektywą • Konsekwencje zakwalifikowania Dyrektywy jako maksymalnej: - Definicja zgody osoby, której dane dotyczą w Dyrektywie: konkretne i świadome, dobrowolne wskazanie przez osobę, której dane dotyczą, na to, że wyraża przyzwolenie na przetwarzanie jej danych osobowych (art. 2 lit. h). • art. 7 ust. 5 (…) zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści Jeżeli Dyrektywa miałaby charakter maksymalny to polski przepis definiujący zgodę okazałby się zbyt restryktywny, a zatem naruszający standard wspólnotowy Fryderyk Zoll, Uniwersytet Jagielloński

6. Kwestia zgodności ustawy o ochronie danych osobowych z Dyrektywą • Definicja zbioru danych osobowych w Dyrektywie: każdy uporządkowany zestaw danych dostępnych według określonych kryteriów, scentralizowanych, zdecentralizowanych lub rozproszonych funkcjonalnie lub geograficznie (art. 2 lit. c) • Definicja zbioru według ustawy: każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego , czy zestaw ten jest rozproszony lub podzielony funkcjonalnie (art. 7 ust. 1) Ustawa znajduje zastosowanie także do wykazów i zbiorów ewidencyjnych (art. 2 ust. 2), co zdaniem niektórych Autorów (Barta/MarkiewiczFajgielski) może wykraczać poza zakres Dyrektywy. Autorzy wskazują na szeroką wykładnię pojęcia zbiór danych” na gruncie Dyrektywy. Nawet gdyby jednak przyjąć tezę o maksymalnym charakterze Dyrektywy, to na ogół harmonizacja maksymalna nie stoi na przeszkodzie rozszerzenia zakresu ustawy implementującej. Harmonizacja maksymalna ogranicza się do danego zakresu dyrektywy. Regulacje poza zakresem w zasadzie nie są ograniczeniem wynikającym z harmonizacji maksymalnej dotknięte. Fryderyk Zoll, Uniwersytet Jagielloński

7. Kwestia zgodności ustawy o ochronie danych osobowych z Dyrektywą • Nawet przy założeniu maksymalnego charakteru Dyrektywy nie stanowiłby problemu brak wyłączenia przez ustawę polską przetwarzania danych osobowych, o których mowa w art. 3 ust. 2 Dyrektywy. Przepis ten wyłącza te rodzaje przetwarzania danych spod zakresu stosowania Dyrektywy, a więc także spod jej ewentualnego maksymalnego charakteru. Fryderyk Zoll, Uniwersytet Jagielloński

8. Kwestia zgodności ustawy o ochronie danych osobowych z Dyrektywą • Wymóg zgody pisemnej na przetwarzanie danych wrażliwych (art. 27 ust. 2 pkt. 4 ustawy) jest zbyt restryktywny w stosunku do Dyrektywy – zob. Barta/Markiewicz/Fajgielski. • Prawdopodbne przekroczenie przyjętego tu maksymalnego charakteru Dyrektywy Fryderyk Zoll, Uniwersytet Jagielloński

9. Kwestia zgodności ustawy o ochronie danych osobowych z Dyrektywą • Polska ustawa przewiduje możliwość odmowy przekazania informacji w przypadku wykorzystywania danych do celów dydaktycznych i archiwalnych (Barta/Markiewicz/Fajgielski, str. 158). Tego nie przewiduje Dyrektywa, a więc to także przekraczałoby maksymalny charakter Dyrektywy Fryderyk Zoll, Uniwersytet Jagielloński

10. Kwestia zgodności ustawy o ochronie danych osobowych z Dyrektywą • Brak osiągnięcia minimalnego standardu Dyrektywy • Pominięcie kryterium „rzetelności” przetwarzania danych (art. 6 ust. 1 lit a Dyrektywy) w ustawie – art.26 ust. 1 pkt. 1. Możliwa korekta w ramach wykładni prowspólnotowej. • W ten sam sposób należy usunąć różnice między art. 7 lit. c a art. 23 ust. 1 pkt. 2 (uprawnienie do przetwarzania danych niezbędne do zrealizowania obowiązku lub wykonania prawa – w art. 7 ust. 3 Dyrektywy zawężenie do administratora). Wykładnia prowspólnotowa pozwala jednak na zawężenie hipotezy art. 23 ust. 1 pkt. 2 ustawy. Fryderyk Zoll, Uniwersytet Jagielloński

11. Kwestia zgodności ustawy o ochronie danych osobowych z Dyrektywą • Brak ograniczenia przetwarzania danych wrażliwych bez zgody w ustawie polskiej – art.27 ust. 2 pkt. 2 do przypadków gdy wymaga tego istotny interes publiczny (art. 8 ust. 4 Dyrektywy). To ograniczenie należy przyjąć w drodze wykładni prowspólnotowej. Fryderyk Zoll, Uniwersytet Jagielloński

12. Kwestia zgodności ustawy o ochronie danych osobowych z Dyrektywą • Brak obowiązków informacyjnych – art. 24 ust. 2 i art. 25 ust. 2 pkt. 1 – niezgodność z art. 13 ust. 1 Dyrektywy – brak wskazania przyczyn – bezpieczeństwa narodowego, obronności, bezpieczeństwa publicznego, ważnego interesu ekonomicznego lub finansowego państwa członkowskiego UE, funkcji kontrolnych i inspekcyjnych, ochrony osoby, której dane dotyczą i ochrony innych osób. (zob. Barta/Markiewicz/Fajgielski, str. 156). Fryderyk Zoll, Uniwersytet Jagielloński

13. Kwestia zgodności ustawy o ochronie danych osobowych z Dyrektywą • Podsumowanie: należy się zgodzić z poglądem o stosunkowej zgodności polskiej ustawy z Dyrektywą. • Jeżeli się przyjmie tezę o maksymalnym charakterze Dyrektywy pojawiają się jednak dodatkowe pola niezgodności. • Należałoby sugerować jeszcze ściślejszą implementację Dyrektywy Fryderyk Zoll, Uniwersytet Jagielloński