organ nadzorczy

Organ nadzorczy to niezależny organ publiczny, który państwo członkowskie Unii Europejskiej ustanawia do monitorowania stosowania RODO ^[1]. Każde państwo powołuje jeden lub więcej takich organów, a rozporządzenie wymaga, by działały w pełni niezależnie ^[1]. W Polsce organem nadzorczym w rozumieniu RODO jest Prezes Urzędu Ochrony Danych Osobowych, w skrócie Prezes UODO ^[2]. Organ ma uprawnienia do prowadzenia postępowań i uprawnienia naprawcze, w tym prawo nakładania administracyjnych kar pieniężnych ^[1].

Pozycja i niezależność

Ustawa o ochronie danych osobowych z 10 maja 2018 roku stanowi, że Prezes UODO jest organem właściwym w sprawie ochrony danych osobowych ^[2]. Jest też organem nadzorczym w rozumieniu RODO oraz dwóch innych aktów unijnych: dyrektywy 2016/680 o przetwarzaniu danych przez organy ścigania i rozporządzenia o Europolu ^[2].

Niezależność zapewnia sposób powoływania. Prezesa UODO powołuje i odwołuje Sejm za zgodą Senatu ^[2]. Kadencja trwa 4 lata od złożenia ślubowania, a ta sama osoba może pełnić funkcję najwyżej przez dwie kadencje ^[2]. W wykonywaniu zadań Prezes UODO podlega tylko ustawie, a odwołać go przed końcem kadencji można tylko z przyczyn wymienionych w ustawie, np. po prawomocnym skazaniu za przestępstwo umyślne ^[2].

Gdy firma przetwarza dane w kilku państwach, sprawą zajmuje się wiodący organ nadzorczy, czyli organ państwa, w którym znajduje się główna jednostka organizacyjna administratora ^[1]. Organy krajowe współpracują w Europejskiej Radzie Ochrony Danych ^[1].

Zadania i uprawnienia

Art. 57 RODO powierza organowi m.in. monitorowanie i egzekwowanie stosowania rozporządzenia, rozpatrywanie skarg i upowszechnianie wiedzy o ochronie danych ^[1]. Dla osoby, której dane dotyczą, zadania organu są co do zasady bezpłatne ^[1]. Art. 58 dzieli uprawnienia na trzy grupy.

Kary. Art. 83 przewiduje dwa progi. Za naruszenie m.in. obowiązków administratora i podmiotu przetwarzającego, w tym obowiązków bezpieczeństwa i zgłaszania naruszeń, kara sięga 10 000 000 euro albo 2% rocznego światowego obrotu przedsiębiorstwa ^[1]. Za naruszenie m.in. podstawowych zasad przetwarzania i praw osób próg wynosi 20 000 000 euro albo 4% obrotu; w obu przypadkach stosuje się kwotę wyższą ^[1]. Polska ustawa ogranicza kary dla jednostek sektora finansów publicznych do 100 000 zł, a dla niektórych z nich do 10 000 zł ^[2]. Kwoty w euro przelicza się według średniego kursu NBP z 28 stycznia danego roku ^[2].

Kontakt z organem

Administrator i osoby fizyczne mają z organem nadzorczym do czynienia w kilku sytuacjach.

Zgłoszenie naruszenia. Gdy dojdzie do naruszenia ochrony danych osobowych, administrator zgłasza je organowi bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia ^[3]. Obowiązek nie dotyczy naruszeń, które prawdopodobnie nie spowodują ryzyka dla praw lub wolności osób ^[3]. Podmiot przetwarzający, który wykrył naruszenie, zgłasza je administratorowi, a o zawiadomieniu organu decyduje administrator ^[3]. Jeśli nie wszystkie informacje są znane, przekazuje się te, które administrator ma w chwili zgłoszenia ^[3]. Szczegóły opisuje hasło zgłoszenie naruszenia ochrony danych.

Uprzednie konsultacje. Jeśli ocena skutków dla ochrony danych wskaże wysokie ryzyko, którego administrator nie umie ograniczyć, przed rozpoczęciem przetwarzania konsultuje jej wyniki z organem nadzorczym ^[4].

Skarga. Osoba fizyczna może złożyć skargę do Prezesa UODO, jeśli nieprawidłowe przetwarzanie dotyczy jej danych ^[5]. UODO wskazuje, by najpierw zwrócić się do administratora, który ma miesiąc na odpowiedź ^[5]. Przebieg pokazuje schemat poniżej.

RYS. 1Od żądania do decyzji Prezesa UODO

Skargę składa się na papierze albo elektronicznie, na adres do doręczeń elektronicznych urzędu ^[5]. Jeśli postępowanie wykaże naruszenie, Prezes UODO w drodze decyzji nakazuje przywrócenie stanu zgodnego z prawem ^[5].

W WordPressie

Dla właściciela strony WordPress organ nadzorczy pojawia się najczęściej po włamaniu. Przejęcie bazy z kontami użytkowników, zamówieniami sklepu albo wpisami z formularzy to zwykle wyciek danych, który administrator ocenia pod kątem obowiązku zgłoszenia w terminie 72 godzin ^[3]. Pomaga w tym przygotowany wcześniej kontakt z inspektorem ochrony danych, jeśli firma go wyznaczyła.

Rdzeń WordPressa ma narzędzia do obsługi żądań osób, które poprzedzają ewentualną skargę. W menu Narzędzia są funkcje eksportu i usuwania danych osobowych; obie potwierdzają żądanie przez e-mail, a administrator zatwierdza je ręcznie ^[7]. Dokumentacja zaznacza, że usunięcie danych nie obejmuje kopii zapasowych (backup) ani danych zbieranych przez usługi zewnętrzne i nie usuwa samego konta użytkownika ^[7]. W Ustawieniach, w sekcji Prywatność, WordPress pomaga przygotować stronę z polityką prywatności, ale dokumentacja podkreśla, że te narzędzia nie są same w sobie procesem zapewnienia zgodności ^[7].

Przykłady

W komunikacie z 8 lutego 2024 roku Prezes UODO poinformował o ponownym ukaraniu sklepu internetowego Morele.net karą ponad 3,8 mln zł za naruszenie, w którym wyciekły dane 2,2 mln osób ^[6]. Organ wskazał m.in. brak uwierzytelniania dwuskładnikowego (2FA), brak szyfrowania części danych, brak analizy ryzyka i brak monitorowania ruchu w sieci ^[6]. Poprzednią decyzję w tej sprawie Naczelny Sąd Administracyjny uchylił 9 lutego 2023 roku ^[6]. Była to pierwsza sprawa, w której Prezes UODO zastosował wytyczne Europejskiej Rady Ochrony Danych z maja 2023 roku w sprawie obliczania kar ^[6].

Organ nadzorczy według RODO to inna instytucja niż zespół CSIRT, do którego zgłasza się incydenty według NIS2 i ustawy o krajowym systemie cyberbezpieczeństwa. Ten sam incydent może wymagać zgłoszenia do obu.