Podsumowanie miesiąca – grudzień 2024-styczeń 2025

Szanowni Państwo, nowy 2025 rok, drugi rok mojej kadencji, zaczęliśmy w Urzędzie Ochrony Danych Osobowych już zreorganizowani. Nowa struktura ma nam pomóc lepiej i sprawniej wykonywać naszą pracę
i rozwiązywać problemy dotyczące danych osobowych i stosowania przepisów dotyczących danych. Większy nacisk postawiliśmy na komunikację i działalność edukacyjną – chodzi nam bowiem o to, by edukacja i prewencja w zakresie ochrony danych była równie ważną aktywnością UODO jak egzekwowanie przepisów.

Koniec stycznia zastał więc nas w drodze – w Brukseli podczas Konferencji Ochrony Danych Osobowych zorganizowanej przez Europejskiego Inspektora Ochrony Danych prof. Wojciecha Wiewiórowskiego, a także obchodów Dniach Ochrony Danych w polskim przedstawicielstwie – I. połowa 2025 r. to wszak prezydencja Polski w Unii Europejskiej. Kolejny przystanek w RODO-drodze to Pomorze,  gdzie spotykaliśmy się z ekspertami, inspektorami ochrony danych, samorządowcami i obywatelami w ramach akcji „UODO rusza w kraj”. O znaczeniu danych osobowych mieliśmy też szansę opowiedzieć w ramach obchodów Dnia Ochrony Danych Osobowych podczas konferencji o analizie ryzyka zorganizowanej przez UODO we współpracy z Uniwersytetem Warszawskim. Z kolei 24 stycznia członkini Społecznego Zespołu Ekspertów przy Prezesie UODO Mariola Więckowska wygłosiła niezwykle interesujący wykład pt. „Proces monitorowania postępu technologicznego jako element rozliczalności stosowania zasady ochrony danych w fazie projektowania oraz domyślnej ochrony danych”.

W styczniu przedstawiłem prawodawcy uwagi do zmian prawa w kilku istotnych kwestiach, m.in.:

• do projektu ustawy o bonie senioralnym
• do projektu ustawy o zmianie ustawy o odpadach
• do projektu ustawy o systemach sztucznej inteligencji

Uwagi te są dowodem na to, jak rośnie znaczenie danych osobowych – stają się one częścią już praktycznie każdego rozwiązania dotyczącego polityk publicznych. Stale więc przypominam, że wprowadzając do prawa przepisy dotyczące danych osobowych należy przeprowadzać analizę skutków dla ochrony danych. To powinien być obowiązkowy element ocen skutków regulacji, przygotowywanych na początku pracy nad każdym nowym rozwiązaniem prawnym.

Chciałbym też zwrócić Państwa uwagę na istotne wyroki sądów:

• NSA potwierdził – bank nie może przetwarzać danych na zapas
• NSA przesądził, że numer księgi wieczystej to dana osobowa
• Wyrok TSUE dotyczący przetwarzania danych w komunikacji elektronicznej pokazał, że zakres zbierania i przetrzymywania danych telekomunikacyjnych, na które pozwala polskie prawo, budzi coraz większe wątpliwości.
• Przeanalizowaliśmy też wyrok TSUE w sprawie o sygn. C- 590/22: naszym zdaniem może mieć znaczenie dla stosowania przepisów w postępowaniach sądowych o zasądzenie odszkodowania z tytułu naruszenia ochrony danych osobowych.

Warto też zwrócić uwagę na to, że 16 stycznia 2025 roku Europejska Rada Ochrony Danych (EROD) przyjęła wytyczne dotyczące pseudonimizacji, a także oświadczenie dotyczące wzajemnych zależności pomiędzy prawem konkurencji a ochroną danych.

Chciałbym też wspomnieć o podpisaniu przez Prezesa UODO porozumień z Polskim Towarzystwem Legislacji oraz z Rządowym Centrum Legislacji. Celem współpracy naszych instytucji jest wzmocnienie znaczenia ochrony danych osobowych w procesie legislacyjnym.

W styczniu Prezes UODO ogłosił plan kontroli sektorowych na rok 2025. Obejmuje on:

• organy, które przetwarzają dane osobowe w Wielkoskalowych Systemach Unii Europejskiej.
• podmioty, które przetwarzają dane o stanie zdrowia – sposób zapewnienia bezpieczeństwa danych osobowych.
• podmioty, które przetwarzają dane dzieci – przetwarzanie wizerunku dzieci, gdy wymagana jest zgoda wyrażona przez rodziców lub opiekunów prawnych.
• administratorów danych – realizacja obowiązku wynikającego z art. 33 ust. 5 RODO, polegającego na dokumentowaniu wszelkich naruszeń ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutków oraz podjętych działań zaradczych.

W styczniu Prezes UODO był zmuszony nałożyć karę na Toyota Bank. Powody były dwa. Podmiot pominął profilowanie w rejestrze czynności przetwarzania danych oraz przy ocenie skutków dla ochrony danych. Poza tym Toyota Bank jako administrator danych doprowadził do sytuacji, że inspektor danych osobowych nie był w pełni niezależny w swojej pracy.

Mirosław Wróblewski

Prezes UODO