Błędy w procedurze dot. ochrony danych osobowych

Jednoinstancyjność postępowania czy pozbawienie stron środków zaskarżenia w przypadku niektórych postanowień to tylko niektóre z uproszczeń, jakie zostały zaproponowane w projekcie procedury w sprawie naruszenia przepisów o ochronie danych osobowych. Ich zasadność, szczególnie tych wspomnianych, może jednak budzić bardzo poważne wątpliwości.

Projekt ustawy o ochronie danych osobowych zwalnia przyszły organ ochrony danych - Prezesa Urzędu Ochrony Danych Osobowych - nawet z tak nieabsorbującego wydawałoby się obowiązku, jakim jest prowadzenie metryki sprawy w aktach, uchylając zastosowanie art. 66a k.p.a. Warto w tym kontekście podkreślić, że ograniczenie przewlekłości procedury nie może być celem samym w sobie i nie może uzasadniać jakichkolwiek ograniczeń praw stron postępowania. W szczególności, gdy dotyczy to tak istotnej instytucji jak prawo zaskarżenia decyzji w ramach administracyjnego toku instancji. W projekcie strony zostały pozbawione nawet substytutu odwołania, jakim jest - w obecnej procedurze przed Generalnym Inspektorem Ochrony Danych Osobowych - wniosek o ponowne rozpatrzenie sprawy.

Zgodnie zaś z art. 78 Konstytucji RP, każda ze stron ma prawo do zaskarżenia orzeczeń i decyzji wydanych w pierwszej instancji, natomiast wyjątki od tej zasady oraz tryb zaskarżania określa ustawa. Choć przepis ten nie wprowadza żadnych szczególnych wymogów dla wyjątków od zasady dwuinstancyjności, to jednak wyjątek taki musi spełniać wymogi zasady proporcjonalności uregulowanej w art. 31 ust. 3 Konstytucji oraz nie może naruszać innych konstytucyjnych zasad. Art. 31 ust. 3 Konstytucji stanowi, iż „ograniczenia w zakresie korzystania z konstytucyjnych wolności i praw mogą być ustanawiane tylko w ustawie i tylko wtedy, gdy są konieczne w demokratycznym państwie dla jego bezpieczeństwa lub porządku publicznego, bądź dla ochrony środowiska, zdrowia i moralności publicznej, albo wolności i praw innych osób. Ograniczenia te nie mogą naruszać istoty wolności i praw”.

Prawo do szybkiego postępowania przed organem ochrony danych osobowych może stać w sprzeczności z prawem do środka zaskarżenia. Przewlekłość procedur w polskiej rzeczywistości prawnej nie jest niczym wyjątkowym, występuje powszechnie, zatem ustawodawca mógłby próbować w ten sposób usiłować uzasadnić jednoinstancyjność wszelkich postępowań administracyjnych. Argument ograniczenia przewlekłości to za mało. Jeśli brak jest innego przekonywującego uzasadnienia dla jednoinstancyjności postępowania przed organem ochrony danych osobowych, zapisy projektu powinny budzić poważne wątpliwości natury konstytucyjnej.

Kolejną kwestią, która wzbudziła kontrowersje, jest brak zaskarżalności postanowienia Prezesa Urzędu Ochrony Danych Osobowych w przedmiocie zobowiązania podmiotu, któremu jest zarzucane naruszenie przepisów o ochronie danych osobowych, do ograniczenia przetwarzania danych osobowych. Jakkolwiek zapewnienie przez państwa członkowskie takiego środka tymczasowego przewidziano w rozporządzeniu RODO to brak zaskarżalności tego postanowienia w projekcie polskiej ustawy należy ocenić negatywnie. Nietrudno przewidzieć, jak poważne konsekwencje może mieć ograniczenie przetwarzania danych osobowych dla działalności administratorów i podmiotów przetwarzających dane, jeśli postępowanie w sprawie będzie się przedłużać. Nie zadowala również wytłumaczenie projektodawców jakoby ustawa przewidywała krótki, 30-dniowy termin na rozpatrzenie sprawy, co miałoby niwelować skutki postanowienia o ograniczeniu przetwarzania danych. Termin ten ma bowiem charakter wyłącznie instrukcyjny i oczywistym jest, iż w razie znacznego obłożenia organu sprawami, nie będzie dochowany. Nie jest również zrozumiałym, dlaczego projekt wyłącza (w zakresie wydania powyższego postanowienia) art. 10 k.p.a. ustanawiający zasadę czynnego udziału stron oraz zasadę informowania.

W przypadku wydania postanowienia, zasada zapewnienia czynnego udziału stron sprowadza się de facto do doręczenia postanowienia stronom. Nie jest możliwym wykluczenie obowiązku doręczenia postanowienia. JJaki jest zatem sens tego wyłączenia? Ponadto, określony we wspomnianym przepisie obowiązek organu umożliwienia wypowiedzenia się przez strony co do zebranych dowodów i materiałów oraz zgłoszonych żądań dotyczy wyłącznie fazy postępowania przed wydaniem decyzji. Stronom nie będzie zatem przysługiwać takie uprawnienie przed wydaniem postanowienia w przedmiocie ograniczenia przetwarzania danych osobowych. Wyłączenie w tym zakresie zastosowania art. 10 k.p.a. wydaje się bezprzedmiotowe.

Jako błędne z istoty rzeczy należałoby również ocenić postanowienie projektu stanowiące, iż decyzje wydane przez Prezesa Urzędu podlegają natychmiastowemu wykonaniu. Postanowienie to jest błędne z tego względu, iż skoro postępowanie jest jednoinstancyjne, to decyzje Prezesa Urzędu będą miały zawsze walor ostateczności, który powoduje, że decyzje są też wykonalne. Skutek ustawowej natychmiastowej wykonalności w prawidłowym ujęciu może dotyczyć zatem tylko decyzji nieostatecznych. Te bowiem nie są wykonalne, chyba że ustawa nadaje im taki walor lub organ nada im rygor natychmiastowej wykonalności. O ile zatem w ustawie zachowana zostanie zasada jednoinstancyjności, to przepis dotyczący natychmiastowej wykonalności nie ma zwyczajnie racji bytu. Wątpliwości budzić może również instytucja wstrzymania wykonalności decyzji Prezesa Urzędu z mocy prawa w przypadku wniesienia skargi do sądu administracyjnego w zakresie dotyczącym administracyjnej kary pieniężnej. Prawo o postępowaniu przed sądami administracyjnymi w art. 61 jako zasadę przyjmuje brak skutku wstrzymania wykonalności zaskarżonej decyzji z mocy prawa – wstrzymanie to może mieć miejsce wyłącznie na podstawie postanowienia organu lub sądu. Ustanowienie wyjątku od zasady, że wniesienie skargi na decyzję do sądu administracyjnego nie wstrzymuje wykonania decyzji, rodzi pytanie o uzasadnienie dla takiego wyłomu w systemie. Powstaje bowiem pytanie, czy istnieje takowe szczególne uzasadnienie dla tego wyjątku w przypadku administracyjnych kar pieniężnych za naruszenie zasad ochrony danych osobowych.

Ponadto, automatyczny skutek wstrzymania wykonania decyzji z mocy prawa w zakresie administracyjnych kar pieniężnych, zważywszy na długotrwałość postępowań administracyjnych, może w znaczący sposób ograniczyć siłę oddziaływania tego środka, co nie wydaje się odpowiadać intencjom prawodawcy unijnego.

Negatywnie należy również ocenić sposób skonstruowania uprawnień autokontrolnych organu, których uregulowanie zostało zmodyfikowane w sposób błędny względem ogólnej regulacji tych uprawnień na gruncie art. 54 § 3 Prawa o postępowaniu przed sądami administracyjnymi. Projekt wskazuje, iż w przypadku wniesienia skargi, „jeżeli Prezes Urzędu uzna skargę za zasadną w całości, może, nie przekazując akt oraz odpowiedzi na skargę sądowi, w terminie 30 dni od dnia wniesienia skargi uchylić zaskarżoną decyzję i wydać nową, o czym niezwłocznie zawiadamia każdą ze stron, przesyłając im nową decyzję, od której stronom przysługuje skarga do sądu administracyjnego”.

Przede wszystkim art. 54 § 3 p.p.s.a. nie zwalnia organu z obowiązku przesłania do sądu, pomimo wykonania uprawnień autokontrolnych, skargi oraz akt postępowania. Wynika to z faktu, iż sąd musi umorzyć uruchomione skargą postępowanie sądowoadministracyjne jako bezprzedmiotowe, a tylko prawidłowe wykonanie przez organ uprawnień autokontrolnych może być podstawą do umorzenia postępowania sądowoadministracyjnego. Prawidłowość ta podlega więc badaniu przez sąd.

Analizowany projekt ustawy o ochronie danych osobowych całkowicie eliminuje kontrolę sądu administracyjnego w zakresie prawidłowości wykonania uprawnień autokontrolnych przez organ. Konstrukcja zawarta w projekcie ustawy w istocie powoduje - z uwagi na mechanizm wnoszenia skargi za pośrednictwem organu administracji - że uruchomione skargą postępowanie sądowoadministracyjne pozostaje w próżni. Nie jest w żaden sposób zakończone. Organ nie przesyła bowiem sądowi akt ani odpowiedzi na skargę. Sąd zatem nic o zainicjowanym postępowaniu sądowoadministracyjnym nie wie. Powoduje to znaczące ograniczenie prawa do sądu. Skarżący ma bowiem prawo poznać ocenę sądu, czy uprawnienia autokontrolne zostały wykonane prawidłowo, tym bardziej, że skarga wiąże się zazwyczaj z opłaceniem wpisu przez skarżącego.

W przypadku błędnego wykonania uprawnień autokontrolnych organu będzie on musiał wnieść po raz kolejny skargę, od której będzie musiał ponownie uiścić wpis. Projekt ustawy zatem całkowicie bezpodstawnie uwalnia Prezesa Urzędu od kontroli sądu.

Na marginesie zauważyć należy, iż stwierdzenie „nie przesyłając akt oraz odpowiedzi na skargę” jest również błędne i niekompletne. Akta dotyczą sprawy administracyjnej, a więc nie zawierają skargi, która jest elementem akt sadowoadministracyjnych – przepis ten zatem skargę bezpodstawnie pomija. Skoro organ nie przekazuje akt, ani odpowiedzi na skargę, to co czyni ze skargą? Zgodnie z zasadami ogólnymi p.p.s.a. powinien ją przekazać sądowi – ale dlaczego wówczas sąd miałby procedować bez akt sprawy? Skąd sąd ma się dowiedzieć o wykonaniu przez organ uprawnień autokontrolnych, skoro nie otrzymał akt sprawy administracyjnej? Ponadto oczywistym jest, że jeśli organ wykonuje swoje uprawnienia autokontrolne, uznając skargę za zasadną w całości, to nie sporządza odpowiedzi na skargę. Z uwagi na powyższe poważne wątpliwości, należałoby przedmiotowy zapis wykreślić i pozostać przy ogólnych regulacjach p.p.s.a.

Na koniec jako błędne należy ocenić także wyłączenie zastosowania przepisów Kodeksu postępowania administracyjnego dotyczące ugody administracyjnej. Oczywistym jest, iż te przepisy w postępowaniu w przedmiocie naruszenia zasad ochrony danych osobowych nie będą miały zastosowania, jednakże wynika to z samej treści tych przepisów. Art. 114 k.p.a. wyraźnie bowiem dopuszcza zawarcie ugody wyłącznie w przypadku, gdy „przemawia za tym charakter sprawy”. Ewidentnie w przedmiotowym przypadku sprawa administracyjna nie nadaje się do jej zakończenia poprzez zawarcie ugody, wyłączenie to zatem powinno zostać skreślone z projektu jako superfluum.

Jak wynika z powyższego, przedmiotowy projekt należałoby po raz kolejny dokładnie przeanalizować, uwzględniając w szczególności wymogi systemowej zgodności i spójności analizowanej procedury zarówno z przepisami Kodeksu postępowania administracyjnego, jak i Prawa o postępowaniu przed sądami administracyjnymi. Nieuzasadnione merytorycznie, a częstokroć błędne konstrukcyjnie wyjątki od zasad ogólnych winny zostać wyeliminowane na etapie dalszych prac legislacyjnych.

Autorzy: Dr Bogdan Fischer, radca prawny i partner Kancelarii Chałas i Wspólnicy, szef Departamentu Własności Intelektualnej i Danych Osobowych oraz Aleksandra Błaszczyńska, radca prawny z Departamentu Własności Intelektualnej i Danych Osobowych Kancelarii Chałas i Wspólnicy