Naruszenie obowiązku współpracy z organem nadzorczym w sprawach z zakresu ochrony danych osobowych jako podstawa do nałożenia administracyjnej kary pieniężnej

Przedmiot badań: Niniejsze opracowanie poświęcone zostało analizie obowiązku prawnego współpracy podmiotów zobowiązanych do stosowania tzw. ogólnego rozporządzenia o ochronie danych osobowych (znanego szerzej jako RODO) z organem nadzorczym, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych, oraz konsekwencjom jego naruszenia. Przedmiotem swoich dociekań autorka artykułu uczyniła normy prawa ochrony danych osobowych oraz praktykę ich stosowania. Cel badawczy: Podstawowym celem niniejszego artykułu jest ustalenie i ocena czy rozwiązania prawne przyjęte w art. 31 RODO są właściwe i wystarczające z punktu widzenia zapewnienia sprawnej realizacji zadań powierzonych organom nadzorczym odpowiedzialnym za monitorowanie stosowania przepisów o ochronie danych osobowych. 1 Metoda badawcza: Podstawową, zastosowaną w przypadku niniejszego opracowania metodą badawczą jest analiza materiału normatywnego i poglądów piśmiennictwa. Ponadto, w oparciu o rozstrzygnięcia Prezesa Urzędu Ochrony Danych Osobowych analizie poddano stosowanie prawa ochrony danych osobowych we wskazanym powyżej zakresie. Wyniki: Obowiązek współpracy z organem nadzorczym, wyrażony wprost po raz pierwszy na gruncie przepisów tzw. ogólnego rozporządzenia o ochronie danych, jest ważnym instrumentem zapewniającym niezakłóconą realizację kompetencji przyznanych organowi nadzorczemu. W tym kontekście jest on jednym z elementów składających się na fundament europejskiej reformy prawa ochrony danych osobowych, jakim jest wzmocnienie pozycji organu nadzorczego w relacji z administratorami, podmiotami przetwarzającymi – oraz gdy ma to zastosowanie – ich przedstawicielami. Wprowadzenie możliwości zastosowania sankcji finansowej jako konsekwencji naruszenia art. 31 RODO zapewnia możliwość urzeczywistnienia tego celu i pozwala na realne dyscyplinowanie podmiotów zobowiązanych do stosowania przepisów ogólnego rozporządzenia – zarówno w wymiarze indywidualno-, jak i ogólnoprewencyjnym, tj. zarówno w stosunku do samego podmiotu ukaranego, jak i do przyszłych adresatów żądań kierowanych przez organ. Jak pokazuje ponad 3-letnia praktyka stosowania przepisów ogólnego rozporządzenia, przyjęcie przez prawodawcę europejskiego takiego rozwiązania okazało się konieczne. Możliwość nałożenia administracyjnej kary pieniężnej, w przypadku naruszenia obowiązku współpracy z organem nadzorczym, może się okazać jednym z niewielu, a czasem wręcz jedynym narzędziem, po który organ będzie mógł sięgnąć, dążąc do niezakłóconej i terminowej realizacji powierzonych mu zadań, w tym przede wszystkim monitorowania i egzekwowania stosowania ogólnego rozporządzenia. Tym samym norma ta w sposób pośredni wpływa również na realizację praw osób, których dane dotyczą. Z drugiej strony, zastosowana na gruncie art. 31 RODO konstrukcja prawna, z którą wiąże się konieczność odwołania do innych przepisów ogólnego rozporządzenia określających kompetencje organu, chroni te podmioty przed jej ewentualnym nadużywaniem i ma istotny wymiar gwarancyjny.

Background: The study deals with the analysis of the legal obligation of cooperation by subjects required to employ the norms of the GDPR with the supervisory authority, in case of Poland, the President of the Personal Data Protection Office, and the consequences of lack of such cooperation. The Author investigates the norms of the personal data protection law and their use in practice. Research purpose: The primary goal of this study is to establish whether the solutions adopted in Article 31 of the GDPR are enough when considering the mandate of supervisory authorities. Methods: The primary method used in this study has been the analysis of the normative material and scholarly review. Additionally, the decisions of the President of the Personal Data Protection Office have served as the basis for analysis of employment of GDPR relevant norms in this regard. Conclusions: The duty of the controller to cooperate with the supervisory authority, first stated in the GDPR, is an important instrument to ensure the execution of power granted to a supervisory authority. In that context it serves as one of the keystones of European personal data protection reform, as strengthening of the supervisory authority in relation to controllers, processors and – if applicable – their representatives. The introduction of administrative fines as a result of violating Article 31 ensures that this goal is met and allows for real disciplining of subjects required to employ the norms of the GDPR, both individually and generally. As demonstrated over the last three years of its use, the adoption of such solution by the European lawmakers has been necessary. The possibility of imposing administrative fines for lack of cooperation with the supervisory authority might be one of the few, and sometimes the only, tools that such authorities can employ to ensure the accomplishment of its mandate, especially in regard to monitoring and enforcing GDPR execution. Therefore, this norm indirectly affects the exercise of data subjects’ rights. On the other hand, the legal construct of Article 31 requires the implication of other GDPR norms by the authority, which serves to protect them from abuse by the institution.