Cenię sobie jasne procedury, bo one pozwalają na działanie w granicach prawa
Z Agnieszką Grzelak, Zastępczynią Prezesa UODO rozmawiał Karol Witowski, p.o. Rzecznika Prasowego UODO
Na konferencji „Przyszłość ochrony danych osobowych w Polsce – w przededniu wyboru nowego Prezesa Urzędu Ochrony Danych Osobowych” w Sejmie powiedziała Pani, że ustawa wdrażająca dyrektywę policyjną jest niestosowalna w kontekście praw osób, które w założeniu ma chronić. Z kolei 20 maja w ramach Koła Naukowego Prawa Ochrony Danych Osobowych i Sztucznej Inteligencji „Salus Populi” działającego na WPiA Uniwersytetu im. Adama Mickiewicza w Poznaniu wygłosiła Pani wykład pt. „Dyrektywa policyjna 2016/680 – (nie)chciana siostra RODO?”. Może Pani przybliżyć istotę i implikacje tej dyrektywy dla praktyki prawniczej oraz polityki bezpieczeństwa? Jakie są relacje dyrektywy z RODO?
Na początek dwa słowa wyjaśnienia. W 2016 r., obok znanego powszechnie RODO, instytucje unijne przyjęły dyrektywę 2016/680, która uzupełnia system ochrony danych osobowych w Unii Europejskiej i zobowiązuje państwa członkowskie do wprowadzenia przepisów regulujących zasady przetwarzania danych osobowych przez organy publiczne, do celów – ogólnie ujmując – walki
z przestępczością. Z tego względu na dyrektywę potocznie mówi się „policyjna”, chociaż naturalnie nie dotyczy wyłącznie Policji. Przypomnę tylko, że w przeciwieństwie do RODO – dyrektywy zasadniczo nie można stosować bezpośrednio i wymaga przyjęcia stosownych przepisów krajowych.
W Polsce w 2018 r. uchwalono ustawę, która miała implementować przepisy tej dyrektywy do prawa krajowego, jednak – w mojej ocenie – jest to wybitny przykład, który mogę wykorzystywać w pracy akademickiej na to, jak nie należy implementować dyrektyw. Niestety – bowiem uważam, że przepisy dyrektywy dawały szansę na to, by spróbować wyważyć dwie wartości, nie rezygnując z żadnej z nich – z jednej strony zapewnienia bezpieczeństwa publicznego i efektywnego działania służb, a z drugiej strony praw osoby, której dane dotyczą. Oczywistym jest, że prawo do ochrony danych osobowych czy prawo do prywatności musi w pewnych okolicznościach ustąpić i być ograniczone po to, by dało się zrealizować inne obowiązki. Trudno przecież wyobrazić sobie, że prawo dostępu do danych czy prawo do zapomnienia albo do bycia poinformowanym o fakcie przetwarzania danych będą realizowane w pełnym wymiarze w przypadku przetwarzania danych osób, które są podejrzane o popełnienie przestępstwa. Dyrektywa w mojej ocenie –chociaż ogólna –dawała szansę na znalezienie właściwego punktu, w którym obie wartości mogłyby się spotkać.
Niestety, polski ustawodawca nie wykorzystał tych możliwości prawidłowo, o czym wielokrotnie pisałam nie tylko jako naukowiec, tworząc i redagując komentarz do ustawy, ale również wspierając –wraz z obecnym Prezesem Urzędu Ochrony Danych Osobowych Mirosławem Wróblewskim –Rzecznika Praw Obywatelskich, prof. Adama Bodnara, który występował z zastrzeżeniami dotyczącymi sposobu implementacji tej dyrektywy. Co więcej, po przyjściu do UODO dowiedziałam się, że w ostatnich latach również poprzedni Prezes Urzędu Ochrony Danych Osobowych starał się interweniować w tej sprawie –znów bezskutecznie.
Jest kilka istotnych wad. Po pierwsze, bardzo niejasny jest zakres zastosowania przepisów ustawy i wprowadzone w niej wyłączenia. Niektóre z nich mogłyby zostać uznane za dopuszczalne, gdyby równolegle istniały inne przepisy regulujące sposób przetwarzania danych. Mam na myśli np. wyłączenia dotyczące danych zawartych w aktach postępowań sądowych czy też przetwarzanych przez określone służby, w tym CBA czy ABW albo informacji niejawnych. Z jednej strony ustawa wdrażająca dyrektywę policyjną nie ma zastosowania, ale z drugiej nie ma dobrych przepisów, które wprowadzałyby wymagany –nie tylko przez dyrektywę, ale właściwie nawet przede wszystkim przez Konstytucję RP czy też Europejską Konwencję o ochronie praw człowieka –standard minimalny.
Niestety, przypadki omawiane publicznie takie jak sprawa Pegasusaczy aktualny problem sędziego, który być może pracował na rzecz innych państw pokazują jak ważne jest uregulowanie tych kwestii w sposób prawidłowy.
Po drugie, przepisy ustawy w zakresie ograniczenia praw osób, których dane dotyczą są bardzo blankietowe i zezwalają na dużą dowolność w uzasadnieniu odmowy realizacji tych praw przez służby. To może z kolei prowadzić do nadużyć, które –w dalszej konsekwencji –nie będą mogły zostać ocenione w kontroli sądowej z racji właśnie zbyt ogólnikowej treści przepisów.
Po trzecie, w dyrektywie wprowadzono bardzo ciekawy i ważny art. 17 –podaję numer, bo często jest przywoływany w rozmowach. Filozofia kryjąca się za tym przepisem jest następująca: skoro osoba, która chce się dowiedzieć, czy jej dane przetwarza np. policja, nie może takiej informacji otrzymać ze względu np. na dobro toczącego się postępowania (co jest całkowicie zrozumiałe), ma prawo poprosić o sprawdzenie pośrednie, które miałoby być dokonane przez niezależny organ. I ten organ miałby uprawnienia kontrolne, a zainteresowanego informowałby jedynie, że sprawdzenie zostało dokonane. W idealnym modelu, taka osoba powinna mieć ogromne zaufanie do organu i uspokoić się po otrzymaniu takiej informacji, w zaufaniu że procedury działają prawidłowo i gdyby doszło do nadużycia, ten organ podjąłby właściwe kroki zmierzające do naprawy sytuacji. Niestety, przepis ten nie został wdrożony do prawa polskiego, możliwość jego zastosowania bezpośrednio jest teoretyczna (chociaż ja jej całkowicie nie wykluczam), no i pozostaje jeszcze kwestia zaufania do organu ochrony danych osobowych i jego niezależności. Nad tą ostatnią sprawą Mirosław Wróblewski, prezes UODO w następnych tygodniach i latach będzie wraz z zespołem pracował.
Wreszcie można jeszcze dodać, że przepisy RODO w połączeniu z przepisami ustawy wdrażającej dyrektywę policyjną i przepisami ustaw szczególnych stworzyły dość znaczący chaos prawny w odniesieniu do przetwarzania danych osobowych w sądach i w prokuraturze. To jest kolejny, bardzo obszerny wątek, którego już tu rozwijać nie będę, ale mogę zapewnić, że również ten temat będzie jednym z priorytetów naszych działań w najbliższych miesiącach. Proszę jednak pamiętać, że Prezes UODO nie posiada inicjatywy legislacyjnej i to, co może robić przede wszystkim, to apelowanie o zmiany legislacyjne.
Na konferencji dla kandydatów na Prezesa UODO spytała Pani, jakie konkretnie działania powinny być podjęte w celu zwiększenia efektywności rozpatrywania skarg – przy założeniu, że budżet UODO nie wzrośnie. Jak dziś Pani, jako zastępczyni Prezesa UODO, odpowie na tak postawione pytanie?
Budżet UODO faktycznie nie wzrósł, a liczba zadań rośnie. Liczba skarg utrzymuje się na bardzo wysokim poziomie – w tym roku wpłynęło ich już 3066 [dane na 24.05.2024].
W 2023 roku do Departamentu Skarg wpłynęły 6962 skargi. Mimo że w porównaniu do roku poprzedniego to o 33 skargi mniej, to wysoki wskaźnik skarg w latach poprzednich przełożył się na zwiększoną liczbę spraw prowadzonych w Departamencie Skarg UODO. To sprawy, które wpłynęły do UODO w roku poprzedzającym, ale podjęcie czynności niezbędnych do zebrania materiału dowodowego i wydania decyzji administracyjnej nastąpiło w 2023 roku.
W pierwszych tygodniach pracy w Urzędzie wraz z prezesem Wróblewskim i zastępcą prezesa Konradem Komornickim przyglądaliśmy się – i nadal to czynimy – organizacji pracy w Urzędzie. Zbieramy informacje na temat dotychczasowych metod pracy, podziału zadań między departamentami, a w ramach departamentów między poszczególnymi pracownikami i przedstawiamy pewne propozycje, które mają usprawnić i przyspieszyć nie tylko rozpatrywanie skarg, ale też np. zwiększenie liczby prowadzonych kontroli. Chcielibyśmy np. w ramach istniejących możliwości kadrowych utworzyć zespół wstępnej oceny skarg, który zajmowałby się selekcją i odpowiadałby na te pisma, które nie mogą być uznane za skargę czy też na takie, które dotyczą problemów powtarzalnych. Mam nadzieję, że takie rozwiązanie spowoduje, że pracownicy merytoryczni będą mieli więcej czasu na sprawy trudniejsze.
9 kwietnia br. wzięła Pani udział w spotkaniu z inspektorami ochrony danych oraz przedstawicielami organizacji zrzeszających inspektorów i firm zatrudniających inspektorów, by porozmawiać o niezależności IOD. W konferencji wzięło udział 600 osób. Konferencja poprzedzona było spotkaniami Prezesa z licznymi organizacjami reprezentującymi różne środowiska IOD-ów. Czy widać już rezultaty tego dialogu z IOD-ami?
Spotkanie było bardzo cenną lekcją wymiany poglądów oraz doświadczeń dotyczących konkretnych problemów i zagrożeń dla niezależności IOD. Rozmawialiśmy o obciążeniu inspektorów obowiązkami administratora, zawieraniu umów powierzenia pomiędzy administratorem a IOD, a także udzielaniem IOD pełnomocnictwa do reprezentowania administratora w sprawach z zakresu ochrony danych osobowych.
Uważnie wsłuchujemy się w głosy tego niezwykle ważnego dla nas środowiska. Rezultaty dialogu już są widoczne poprzez jasną komunikację Urzędu, wytyczne, jakie zaczęliśmy zamieszczać w komunikatach. To wsłuchanie się w poglądy IOD-ów będzie też widoczne, chociażby przy opracowywaniu poradników dla podmiotów stosujących RODO. Zależy nam na tym, by poprzez przyjmowane dokumenty wskazać inspektorom, że działania Urzędu są przewidywalne, a sam Urząd jest otwarty na współpracę ze środowiskiem.
Konsultacje dotyczące poradników rozpoczęły się 21 maja. Urząd zaczął od zbierania uwag do dwóch poradników – o zatrudnieniu i naruszeniach. Proszę powiedzieć, jaki jest cel prowadzenia takich konsultacji, jak wyglądają takie konsultacje społeczne, kto może wziąć w nich udział, czy będzie można zapoznać się z uwagami zgłaszających?
W ocenie kierownictwa UODO konsultacje są właśnie takim przykładem otwarcia się na środowisko,
o którym wspomniałam wyżej. Czas płynie, praktycy zbierają doświadczenia i teraz będą mieli okazję, by podzielić się z nami tymi doświadczeniami. Poradniki powstają po to, aby ułatwić stosowanie przepisów o ochronie danych osobowych w poszczególnych sektorach. Aby tak się działo muszą one udzielać jasnych wskazówek i odpowiedzi na kluczowe problemy interesariuszy czyli przedstawicieli biznesu, instytucji, organizacji społecznych i społeczeństwa. Od rozpoczęcia stosowania w Polsce RODO minęło już sześć lat, nasze poradniki nie zawsze zawierają aktualne treści. Chcielibyśmy, aby dzięki konsultacjom nasze poradniki odpowiadały współczesnym potrzebom i wyzwaniom.
W niektórych przypadkach konieczne będzie również zaktualizowanie stanowiska organu nadzorczego. Plan jest zatem taki, by najpierw zapoznać się z oceną środowiska, zbierając uwagi
i publikując je na stronie UODO, a następnie dokonana zostanie analiza i wypracowana treść nowej wersji dokumentu.
UODO podpisał porozumienie z Biurem Rzeczniczki Praw Dziecka i zorganizował niedawno konferencję „Wyzwania dla ochrony danych osobowych dzieci”. Ochrona wizerunku dzieci to temat bliski UODO, tymczasem działania podejmowane na rzecz takich osób przez instytucje publiczne i różne organizacje nie zawsze są ze sobą skoordynowane czy znane innym podmiotom. Co w obszarze ochrony dzieci i współpracy instytucjonalnej wymaga największej uwagi?
Organizacja tej konferencji i podpisanie porozumienia to przykład działań, podejmowanych właśnie
po to, by znaleźć dobre rozwiązania merytoryczne. Konferencja pokazała, że możemy działać razem, korzystając ze swoich kompetencji, co – miejmy nadzieję – pomoże już niedługo efektywniej odpowiedzieć na wyzwania. Chcemy czerpać z doświadczeń obu organów, by nasz przekaz był mocniejszy.
Oczywiście samo podpisanie porozumienia to nie wszystko, za tym muszą iść kolejne działania, chociażby edukacyjne, czego przykładem jest wspólny webinar „RODO w szkolnej ławce. Wykorzystanie wizerunku dziecka – prawo i praktyka”, dotyczący ochrony danych dzieci w placówkach edukacyjnych, który odbył się w połowie maja. To dopiero początek.
To, co silnie wybrzmiewa podczas tych konferencji, na co musimy zwracać szczególną uwagę, to uznanie podmiotowości dzieci, poszanowania autonomii młodych ludzi w wymiarze również informacyjnym. Bazując na tym możemy dopiero myśleć o szukaniu rozwiązań legislacyjnych
i technicznych. Te z kolei nie mogą być wymyślone wyłącznie przez prawników i informatyków, powinny zostać wypracowane wspólnie przez wszystkie środowiska i z dużym udziałem organizacji pozarządowych oraz ekspertów.
Niezwykła aktywność młodych w Internecie, od coraz wcześniejszego wieku, którzy korzystają z jego dobrodziejstw, ale również wpadają w zastawione przez sieć pułapki, rodzi liczne zagrożenia. Tu pojawia się chociażby temat wyrażania przez osoby młode zgody na przetwarzanie ich danych osobowych, również poprzez niejasne, niespełniające wymogów klauzule informacyjne napisane takim językiem, że nawet osoba dorosła nie poradziłaby sobie z ich zrozumieniem.
Do tego dodać należy aktywność osób dorosłych w sieci – nauczycieli czy rodziców, którzy niejednokrotnie bezrefleksyjnie publikują dane i wizerunek swoich dzieci w mediach społecznościowych, również w celach reklamowych i zarobkowych.
Uważam, że podpisanie porozumienia o współpracy między Prezesem UODO a Rzeczniczką Praw Dziecka w zakresie inicjatyw edukacyjnych i badawczych dotyczących danych osobowych dzieci
i młodzieży jest bardzo ważnym krokiem w stronę większej aktywności obu organów. Trzeba jednak dodać, że również w innych obszarach taką współpracę instytucjonalną podejmujemy – Prezes UODO spotykał się w ostatnim czasie również z osobami kierującymi innymi instytucjami publicznymi, w tym z Ministrem Cyfryzacji, Prezesem Urzędu Ochrony Konkurencji i Konsumentów, Prezesem Urzędu Komunikacji Elektronicznej i in. – te wszystkie spotkania mają służyć wzmocnieniu wspólnych działań, wypracowaniu wspólnych stanowisk również w kontekście nowych, nadchodzących wyzwań związanych ze stosowanie nowych aktów, w tym aktu o usługach cyfrowych (DSA) czy aktu o zarządzaniu danymi (DGA).
Jest Pani autorką licznych publikacji z zakresu systemu prawnego Unii Europejskiej, wykłada Pani prawo Unii Europejskiej w Akademii Leona Koźmińskiego, a naukowo działa Pani również na styku ochrony danych osobowych i bezpieczeństwa. Jak wyglądają wzajemne relacje systemów prawnych UE i Polski, jak zadbać o to, by sprawnie działały?
Cały obszar systemu prawnego UE, jego relacji do prawa krajowego jest dla mnie fascynujący. Zaczęłam się rozwijać zawodowo i naukowo wtedy, gdy Polska stawała się członkiem Unii Europejskiej. W latach 2000-2004 pracowałam w Urzędzie Komitetu Integracji Europejskiej i miałam okazję uczestniczyć w procesie harmonizacji prawa, a 20. rocznica akcesji Polski do UE, która przypada w tym roku jest dla mnie momentem refleksji. Od samego początku swojej kariery w szczególności interesowały mnie zagadnienia współpracy policyjnej i sądowej w sprawach karnych – czyli takiego obszaru współdziałania państw, który najwolniej poddawał się systemowi uwspólnotowienia, jako silnie powiązany z państwowością i kompetencjami krajowymi. Dołączając do tego zainteresowanie prawami człowieka – stąd już była krótka droga do ochrony danych osobowych i prawa do prywatności właśnie w relacji do bezpieczeństwa obywateli, o czym powiedziałam wcześniej. Unia Europejska – jakkolwiek górnolotnie to zabrzmi – była marzeniem moich rodziców, uosobieniem wolności, której oni w czasach PRL nie doświadczali. Ja patrzę na tę organizację międzynarodową już bardziej realistycznie, widzę jej różne wady, ale nadal dostrzegam więcej zalet, do których zaliczam przede wszystkim jej konstrukcję instytucjonalną, która pozwala na zrównoważenie uprawnień poszczególnych instytucji, reprezentujących interesy państw członkowskich (Rada), obywateli (Parlament Europejski) czy samej UE (Komisja Europejska).
Dla naukowca system prawny UE jest nowatorski – UE jest organizacją o charakterze ponadnarodowym, a zatem prawo stanowione w jej ramach, w którego tworzeniu wszystkie państwa, w tym Polska biorą udział na równych zasadach, bez wątpienia silnie ingeruje w porządki prawne państw członkowskich, chociażby poprzez przyjmowanie rozporządzeń, które stosowane są bezpośrednio, tak jak RODO czy w najbliższym czasie DSA czy DGA. Nie ukrywam też, że pozytywnie oceniam powrót na drogę praworządności i stopniową naprawę tych naruszeń prawa UE, które miały miejsce w ostatnich latach w Polsce, a które były stwierdzane orzeczeniami Trybunału Sprawiedliwości, co też było przedmiotem naszej – mojej i Pana prezesa Wróblewskiego – naukowej aktywności w ostatnich latach.
Z prawem do prywatności i prawem do ochrony danych osobowych wiąże się wiele ważnych orzeczeń TSUE. Rola Trybunału wymagałaby pewnie osobnego wywodu, ale przypomnieć należy, że to właśnie Trybunał dokonuje wykładni przepisów traktatów, których Polska stała się stroną na mocy decyzji Narodu. W najbliższym czasie będziemy szerzej o tym rozmawiać podczas konferencji poświęconej m.in. 20. rocznicy członkostwa Polski w UE, na którą wszystkich już teraz zapraszam.
Nie ukrywa Pani swojej niechęci do biurokracji i zbędnych formalizmów. Jednocześnie od dawna piastuje Pani wysokie stanowiska. Zdawałoby się, że to wymaga przestrzegania wielu procedur biurokratycznych. Chciałbym Pani pogratulować tej bezpośredniości, jestem przekonany, że przekłada się to bardzo pozytywnie nie tylko na komunikację wewnętrzną w Urzędzie, ale również na komunikację Urzędu z obywatelami. Czy to jest właśnie Pani styl zarządzania?
Cenię sobie jasne procedury, bo one pozwalają na działanie w granicach prawa. Nie ma potrzeby jednak ich nadmiernie rozbudowywać, a szczególnie ważne, by w relacjach pracowniczych kontakty ze mną były bezpośrednie. Często skracają one drogę do ustalenia wspólnych działań i przyspieszenia pracy. Dlatego też, gdy zaczęłam prac w Urzędzie chciałam jak najszybciej poznać jego załogę osobiście. W mailu powitalnym zaoferowałam pracownikom lojalność, życzliwość, zaangażowanie i otwartość i muszę przyznać, że dostaję to samo w zamian. Chciałam, aby relacje między mną a resztą zespołów odbywały się bez zbędnej otoczki „urzędniczej” i formalizmów.
Staram się odpowiadać możliwie szybko na prośby o wszelkie spotkania bezpośrednie z pracownikami, sama również je inicjuję. Jeżeli jest problem, który można rozwiązać poprzez jedno spotkanie, zamiast zakładania spraw w elektronicznym systemie zarządzania dokumentacją
i przerzucania się mailami, w których główną treścią jest wstęp pełen odwołań do tytułów i stanowisk, jakie ktoś pełni, to zdecydowanie wybieram ten pierwszy styl zarządzania.
Poza tym uważam, że to pracownicy znają ten urząd i problemy od podszewki, ja mogę tylko nieco pomóc. Chcę się skupić na rozwiązaniu problemów, jakie wystąpiły, a nie na bezmyślnym staniu przy swojej racji z uwagi na pełnione stanowisko. Jesteśmy tu nie po to, żeby pokazać jacy jesteśmy ważni, a po to, by dane obywateli były lepiej chronione. Same tytuły o niczym nie świadczą.
Myślę, że rzeczywiście ten jasny sposób komunikacji przekłada się też na kontakt z obywatelami i ten aspekt bezpośredniości jest dla mnie bardzo ważny. Wystarczy spojrzeć chociażby na komunikaty na naszej stronie. Kiedy mogą, przestają być czysto informacyjne. Nie piszemy już wyłącznie o tym, że jakiś podmiot dostał karę, ale też wyraźnie i wprost tłumaczymy, jak w danej sytuacji należy postąpić właściwie, żeby inny podmiot mógł uniknąć podobnie przykrych konsekwencji. To nie powinno być
w strefie domysłów.
Wiem, że podobne oczekiwania mają nasi klienci – obywatele, chociażby ci, którzy dzwonią po rady na numer Infolinii UODO. Chcą jasnych wytycznych, co mogą, a czego nie powinni w danej sytuacji robić. Pracujemy również nad uproszczeniem języka wystąpień i pism kierowanych do osób zwracających się ze swoimi sprawami do Urzędu.
Używa Pani feminatywów. Dotychczas pomimo obecności wielu kobiet w UODO, na wszystkich stanowiskach, feminatywy nie były u nas stosowane. Pani jako pierwsza przedstawia się jako zastępczyni. Dla wielu to miła odmiana. Czy będą obowiązkowe
w Urzędzie?
Dyskusja o formach żeńskich w języku polskim trwa od ponad stu lat. Aktualnie zauważalna jest tendencja do regularnego tworzenia form żeńskich, ale jednocześnie widać, że zaznaczanie żeńskości może następować za pomocą rzeczownika pani, poprzedzającego formę męską. Muszę przyznać, że moje stanowisko w tej sprawie uległo znaczącej ewolucji, co również zawdzięczam prezesowi Wróblewskiemu, który mnie do zasadności feminatywów przekonywał jeszcze w czasach naszej wspólnej pracy w BRPO.
Obecnie można powiedzieć, że jestem wręcz zafascynowana bogactwem języka polskiego i formami, w jakich feminatywy mogą występować. Uważam jednak również, że język polski jest językiem bogatym, żywym, ale jednocześnie zależnym od użytkownika czy użytkowniczki i to im należy pozostawić decyzję co do tego, jakiej formy będą używać. Wydaje mi się, że kobiety powinny nauczyć się deklarować, jak chcą, by się do nich zwracać, choć jednocześnie nie powinny mieć pretensji, jeśli rozmówca zwróci się do nich w innej formie. Tak to też będzie działać w urzędzie – z pewnością nie narzucimy niczego bez woli użytkowniczek.
Ostatecznie o tym, jak oceniana będzie moja praca i co sobą reprezentuję w żadnej mierze nie świadczy to, czy ktoś nazwie mnie Wiceprezeską, Panią Prezes, Profesorką czy Panią Profesor czy po prostu Agnieszką – mam nadzieję, że to jednak działania i osiągnięcia będą świadczyły o tym, co robię, a nie forma, w jakiej się przedstawiam.
Dziękuję za rozmowę.
