10 lat od uchwalenia RODO – świadomość Polek i Polaków wzrasta. Podobnie jak liczba skarg

W maju tego roku mija 10 lat od opublikowania tekstu RODO w Dzienniku Urzędowym UE oraz 8 lat od rozpoczęcia jego stosowania. Po tej dekadzie widać, że obywatele są coraz bardziej świadomi praw, jakie przysługują im na mocy RODO. A przede wszystkim – możliwości złożenia skargi na niezgodne z prawem przetwarzanie ich danych osobowych. Świadczy o tym już sama liczba skarg wpływających do UODO.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) zostało oficjalnie opublikowane 4 maja 2016 r. i – zgodnie z art. 99 – weszło w życie dwudziestego dnia po publikacji. Jego przepisy zaczęły być stosowane od 25 maja 2018 r.

Choć więc w praktyce RODO działa od lat ośmiu, to media szeroko informowały o jego przepisach już od chwili uchwalenia (a nawet wcześniej). Z punktu widzenia świadomości przedsiębiorców i obywateli możemy więc mówić o co najmniej dekadzie funkcjonowania RODO. A świadomość istnienia tych przepisów systematycznie wzrasta, o czym świadczy choćby liczba skarg wnoszonych z powodu jego naruszenia. Wzrost ten bowiem oznacza nie tyle, że zasady RODO są częściej łamane, ile że ludzie częściej uświadamiają sobie, że ich prawa są naruszane – co sugeruje, że muszą je znać. I wiedzą, że mogą kierować skargi w związku z ich naruszeniem.

Ograniczając się do ostatnich trzech lat: w 2024 r. wpłynęło do Urzędu ok. 8 tys. skarg, w 2025 r. prawie 13 tys., a do kwietnia 2026 r. 5800. Zatem jeśli ten trend się utrzyma, w tym roku wpłynie powyżej 17 tys. skarg. Choć liczba wzrasta, to tematyka, której dotyczą skargi, w przeważającej części pozostaje niezmienna.

Skargi na monitoring – czy sąsiad może mnie nagrywać?

Kwestią, w sprawie której wpływa wiele skarg, pozostaje monitoring, zarówno w wymiarze sąsiedzkim (np. prywatne kamery, wideodomofony i wideowizjery), jak i publicznym (kamery CCTV). Temat ten zresztą niezmiennie budzi zainteresowanie obywateli. RODO zwiększyło świadomość dotyczącą możliwości ochrony swojej prywatności w tym zakresie.

– Na infolinii często słyszymy pytania, czy kamera zainstalowana na prywatnej posesji sąsiada może nagrywać nieruchomości znajdujące się obok, w tym tereny publiczne (np. drogę, plac zabaw). A jeśli tak, to jakie warunki związane z przetwarzaniem danych muszą być spełnione, aby było to legalne – wskazuje Łukasz Kaczmarczyk, zastępca Dyrektora Departamentu Wstępnej Kontroli Skarg i Naruszeń UODO.

I wylicza inne najczęściej pojawiające się pytania w kwestii monitoringu:

– Czy w przypadku zamontowania monitoringu sąsiedzkiego można odwołać się do tzw. wyjątku z art. 2 ust. 2 lit. c RODO, zgodnie z którym przepisów RODO nie stosuje się do przetwarzania danych osobowych przez osobę fizyczną w ramach „czynności o czysto osobistym lub domowym charakterze”? Czy można złożyć skargę do Prezesa UODO na sąsiada, który zamontował kamerę skierowaną na moją posesję? – wylicza Łukasz Kaczmarczyk. – W tej ostatniej kwestii pracownicy infolinii kładą nacisk na informowanie, że UODO w zakresie swoich uprawnień może nakazać usunięcie danych zgromadzonych za pomocą kamery i zaprzestanie ich przetwarzania, nie ma natomiast uprawnień do nakazania usunięcia czy dezaktywacji kamery (to domena sądów powszechnych). Z drugiej strony rozmówcy pytają, w jaki sposób mogą uzyskać dostęp do nagrania z monitoringu, np. jeśli uchwycił on przebieg stłuczki parkingowej – dodaje ekspert.

Skargi na telemarketerów i wspólnoty mieszkaniowe

Coraz częściej zgłaszane są problemy w związku z żądaniem przesłania skanu dokumentu tożsamości lub okazania go w celu skopiowania. Prezes UODO może zbadać takie praktyki, jednak nie może wszcząć postępowania w sprawie indywidualnej, jeśli do skarżonego procesu przetwarzania nie doszło.

– W dalszym ciągu otrzymujemy wiele skarg na uporczywy marketing. Problemem są przede wszystkim uciążliwość i nagminność zjawiska (często z wykorzystaniem botów), brak informacji o tożsamości administratora, utrudnianie realizacji uprawnień (przede wszystkim prawa sprzeciwu z art. 21 ust. RODO oraz prawa do usunięcia danych z art. 17 RODO) – zaznacza Łukasz Kaczmarczyk. – Nieustannie otrzymujemy też skargi i pytania o działalność wspólnot mieszkaniowych, szczególnie w kontekście udostępnienia członkom wspólnoty informacji o zadłużeniu – dodaje.

Ochrona danych osobowych w szkole i pracy. Obawy przed AI

Stałe zainteresowanie rozmówców dotyczy również kwestii, jakie dane osobowe powinny być zawarte w dokumentacji szkolnej (przede wszystkim dzienniku lekcyjnym), oraz tego, kto i na jakich zasadach może mieć do nich dostęp.

Coraz częściej skargi dotyczą także publikacji wizerunku dzieci przez placówki oświatowe.

–  Nowe problemy pojawiają się też w związku z zmianami prawa. Po wejściu w życie tzw. Lex Kamilek zwracano się do nas z pytaniami dotyczącymi obowiązku przedkładania zaświadczenia o niekaralności przez osoby świadczące opiekę nad dziećmi. W kwestiach pracowniczych nieustannie otrzymujemy zgłoszenia dotyczące monitoringu w miejscu pracy. Nie dotyczy to tylko monitoringu wizyjnego, ale także śledzenia lokalizacji pojazdów służbowych czy monitoringu treści przeglądanych stron internetowych – podkreśla Łukasz Kaczmarczyk.

W kontekście zatrudnienia duże obawy budzi obecnie AI, np. w kwestii korzystania przez pracodawcę z tego narzędzia w celach podjęcia decyzji o awansie lub zwolnieniu pracownika. Ale sztuczna inteligencja jest przedmiotem skarg również w innych aspektach. Pojawiają się skargi na przetwarzanie danych osobowych za pomocą sztucznej inteligencji, np. poprzez publikację reklam z wygenerowanymi wizerunkami osób bez ich zgody. Coraz więcej skarg wpływa w związku z przetwarzaniem danych osobowych w systemach informatycznych oraz instalowaniem plików cookie.

Skargi cykliczne i informacje o wyciekach danych

Niektóre tematy powracają w skargach cyklicznie, np. te związane z rozsyłaniem PIT-ów na początku roku czy też z wyborami w okresach okołowyborczych.

– Bardzo doceniamy także zawiadomienia obywateli o niezgodnym z prawem przetwarzaniu danych osobowych innych osób. Ludzie informują nas o otrzymaniu przesyłki dotyczącej innej osoby czy pozostawionej w ogólnodostępnym miejscu dokumentacji medycznej w przychodni. Otrzymujemy też sygnały, że u administratora nastąpił wyciek danych osobowych. Takie zawiadomienia pozwalają organowi skuteczniej nadzorować przestrzeganie przepisów przez administratorów – zwraca uwagę zastępca dyrektora DWKSiN.

Weryfikacja takich zgłoszeń odbywa się jednak w ramach postępowań, w których stroną jest tylko administrator danych osobowych. Zgłaszający nie jest wtedy informowany o przebiegu postępowania i poczynionych ustaleniach. O wszczęciu lub wyniku niektórych postępowań Urząd informuje  oczywiście publicznie.

Decyzje UODO zwiększają świadomość obywateli

Aktywność Prezesa UODO sprzyja budowaniu świadomości wśród obywateli co do przysługujących im praw.

Polki i Polacy coraz częściej śledzą publikacje Prezesa UODO. Świadczy o tym choćby lawinowy wzrost skarg powołujących się na jedną z decyzji UODO ws. monitoringu, niedługo po jej opublikowaniu. Wydaje się także, że obywatele sami chętniej interesują się tematyką ochrony danych osobowych. Powołują się nie tylko na publikacje organu, lecz również na orzecznictwo sądów administracyjnych czy Trybunału Sprawiedliwości Unii Europejskiej.

Najczęstsze błędy

Wciąż jednak duża część skarg nie może być procedowana z powodów niezrozumienia kompetencji organu bądź przepisów dotyczących ochrony danych osobowych. Poniżej wskazano kilka przykładów:

1. Błędne założenie, że dane mogą być przetwarzane tylko na podstawie zgody podmiotu danych. W rzeczywistości jest to tylko jedna z możliwych podstaw przetwarzania. Wierzyciel nie potrzebuje zgody dłużnika, żeby przetwarzać jego dane osobowe w celu windykacyjnym. Prezes UODO nie jest także kompetentny do oceny, czy zobowiązanie istnieje.
2. Artykuły prasowe – ustawa o ochronie danych osobowych wyłącza stosowanie szeregu przepisów RODO w odniesieniu do przetwarzania w ramach działalności prasowej – organ nadzorczy nie ma uprawnień do badania legalności takiego przetwarzania.
3. Posługiwanie się przepisami RODO w celach niezgodnych z ich przeznaczeniem, przykładowo w celu uzyskania konkretnych dokumentów bądź usunięcia wpisu na stronie. RODO przyznaje kompetencje w zakresie danych osobowych, a nie dokumentów czy całych postów. Częstym niemożliwym do zrealizowania żądaniem jest usunięcie kamery monitoringu.
4. Przepisy regulujące prawa przysługujące osobom zawierają też wyłączenia ich stosowania, np. art. 13 ust. 4 wyłącza obowiązek przekazania informacji dotyczących przetwarzania, gdy osoba, której dane dotyczą, dysponuje już tymi informacjami.
5. Obywatele nie pamiętają również, że RODO nie znajduje zastosowania do przetwarzania w celach prywatnych, czyli w ramach czynności o czysto osobistym lub domowym charakterze, np. w ramach udostępniania informacji między znajomymi na portalu społecznościowym.
6. Wraz z rosnącą popularnością portali społecznościowych musimy coraz częściej tłumaczyć, że Prezes UODO nie jest właściwy w kwestii istnienia/zablokowania/usunięcia konta.
7. Pomijanie komunikacji z administratorem przed złożeniem skargi. Niemożliwe jest przeprowadzenie postępowania ws. dotyczącej niezrealizowania niektórych z praw przysługujących na mocy RODO, jeśli już z treści skargi wynika, że administrator nie otrzymał żądania realizacji tego prawa, np. udostępnienia kopii danych osobowych.
8. Organ nadzorczy nie ma kompetencji nadzorowania przetwarzania danych osobowych przez sądy w ramach sprawowania przez nie wymiaru sprawiedliwości oraz przez prokuraturę w ramach wykonywania przez nią ustawowych zadań.
9. Prezes UODO nie ma kompetencji do ustalania administratora danych osobowych. Jeśli marketing prowadzi podmiot zidentyfikowany jedynie numerem telefonu, organ nadzorczy nie pomoże w ustaleniu jego tożsamości.
10. Prezes UODO nie prowadzi postępowań karnych. Przestępstwo określone w art. 107 ustawy o ochronie danych osobowych należy zgłaszać do organów ścigania.
11. Mimo że RODO przyznaje uprawnienie do żądania odszkodowania, to postępowania w tym zakresie nie prowadzi organ nadzorczy, lecz właściwy sąd.
12. Wciąż zdarzają się skargi dotyczące danych osobowych osób zmarłych, do których RODO nie ma zastosowania.
    
    Łukasz Kaczmarczyk,
    zastępca Dyrektora,
    Departament Wstępnej Kontroli Skarg i Naruszeń UODO