Co było, a nie jest, nie pisze się w rejestr (czyli czy można się jeszcze skarżyć na naruszenie „sprzed RODO”?)

Czy można wnieść skargę naruszenie „sprzed RODO” — po wejściu w życie RODO? Czy jednak aktualne przepisy o ochronie danych osobowych stosuje się tylko do zdarzeń aktualnych? (wyrok Naczelnego Sądu Administracyjnego z 19 kwietnia 2023 r., III OSK 6697/21).


Czeska Brama Góry Łużyckie
Jest luka jak cholera! (fot. Olgierd Rudak, CC BY-SA 4.0)

Sprawa zaczęła się od złożonej w czerwcu 2018 r. skargi na nieuprawnione przekazanie — w 2013 r. — przez przychodnię danych osobowych pacjenta jednemu z lekarzy. W toku postępowania przychodnia przedstawiła nieco inny obraz rzeczy: feralnego dnia doszło do zdarzenia, które wymagało wezwania policji, a że podejrzenie padło na pacjenta — jego dane personalne podano funkcjonariuszom (przy czym był obecny lekarz, jako pokrzywdzony).
PUODO zwrócił uwagę, że skoro skarga dotyczy zdarzenia, które miało miejsce przed wejściem w życie RODO, ale została wniesiona po wejściu w życie RODO, a więc nie istnieje podstawa do prowadzenia postępowania i wydania decyzji merytorycznej — zatem postępowanie podlega umorzeniu jako bezprzedmiotowe.

Zdaniem zainteresowanego fakt, że organ opieszale prowadził postępowania przez dwa lata (za co został nawet ukarany grzywną, wyrok WSA z 27 listopada 2020 r., II SAB/Wa 332/20) — aby po zebraniu obszernego materiału umorzyć sprawę — dowodzi nieprawidłowości, a na pewno wskazuje, iż w systemie prawnym istnieje poważna luka uniemożliwiająca uzyskanie ochrony w przypadku naruszenia „sprzed RODO”.

art. 99 RODO
1. Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po publikacji w Dzienniku Urzędowym Unii Europejskiej.
2. Niniejsze rozporządzenie ma zastosowanie od dnia 25 maja 2018 r.


art. 160 ust. 1 ustawy o ochronie danych osobowych
Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu.

Wojewódzki Sąd Administracyjny uznał, że skoro RODO ma zastosowanie od 25 maja 2018 r., to jego przepisy dotyczą tylko sytuacji, które miały miejsce po tym dniu, w tym przetwarzania danych osobowych, które zaczęło się wcześniej, ale nadal trwa. Kontynuowane są także trwające postępowania wszczęte przez GIODO, ale to już na podstawie uchylonej ustawy z 1997 r. — ale nie ma podstaw, by PUODO zajmował się skargami wnoszonymi teraz, acz dotyczącymi naruszeń wcześniejszych (wyrok WSA w Warszawie z 20 kwietnia 2021 r., II SA/Wa 1879/20).

W skardze kasacyjnej od tego orzeczenia mężczyzna zarzucił, iż taka wykładnia pozbawia go konstytucyjnego i wynikającego z art. 16 ust. 1 TFUE prawa do zbadania przez właściwy organ legalności przetwarzania danych osobowych.

Naczelny Sąd Administracyjny stwierdził, że przepisy są jasne: RODO nie ma zastosowania do przetwarzania danych osobowych, które miało miejsce przed 25 maja 2018 r., zaś przepisy prawa krajowego doprecyzowały, iż PUODO kontynuuje tylko postępowania już wszczęte przez GIODO. Skoro więc skarżący nie wniósł zawczasu skargi na naruszenie „sprzed RODO”, to skarga wniesiona już pod rządami RODO nie może być rozpatrywana — a więc postępowanie zostało prawidłowo umorzone jako bezprzedmiotowe.
(Wcale nie na marginesie: WSA wywód swój oparł na art. 99 ust. 1 RODO, do tego przepisu odnosiła się skarga kasacyjna; błędnie, bo oczywiście materię tę reguluje o art. 99 ust. 2 RODO — ale „na szczęście” o tyle NSA nie miał kłopotu z wybrnięcia z ambarasu, że w skardze kasacyjnej nie zarzucono naruszenia art. 160 ust. 1-2 uodo, więc nie było czego badać.)

Zamiast komentarza: rzeczywiście wychodzi na to, że polski prawodawca zafundował nam pewnego rodzaju lukę prawną: samo w sobie RODO nie zajmuje się kwestiami dawniejszymi, czego nie można rozumieć jako zamknięcia możliwości badania wcześniejszych naruszeń. Natomiast w polskiej ustawie jest klasyczne „co było, a nie jest, nie pisze się w rejestr” — skargi już wniesione będą rozpatrzone, i to na podstawie nieobowiązującej już ustawy (art. 160 ust. 2 uodo), ale skargi niewniesione uznaje się za nieistniejące… I to jest dość poważne uchybienie.

subskrybuj
Powiadom o
guest

This site uses Akismet to reduce spam. Learn how your comment data is processed.

9 komentarzy
Oldest
Newest
Inline Feedbacks
zerknij na wszystkie komentarze
9
0
komentarze są tam :-)x