Bezpieczeństwo danych medycznych i przetwarzanie danych dzieci to główne obszary, na których skupią się kontrolerzy Urzędu Ochrony Danych Osobowych w 2025 r. Oczywiście oprócz kontroli planowych w tym roku, Prezes UODO może prowadzić kontrole doraźne, które wszczynane są np. wskutek stwierdzenia naruszenia ochrony danych przez administratora czy też podmiot przetwarzający.
Polska ustawa o ochronie danych osobowych wyróżnia trzy rodzaje kontroli, jaką może prowadzić Prezes Urzędu Ochrony Danych Osobowych. Należą do nich kontrole:
Obowiązek prowadzenia przez Prezesa Urzędu kontroli planowej i sporządzenie planu kontroli wynika więc wyraźnie z przepisów. Przy czym nie określają one szczegółowych wymogów w tym zakresie, pozostawiając organowi swobodę, gdy chodzi o ukształtowanie planu kontroli (kontrole planowane na 2025 r. - patrz ramka).
UODO może również prowadzić tzw. kontrole doraźne, które nie są przewidziane w planie kontroli na danych rok. Potrzeba przeprowadzenia takiej kontroli może wynikać z informacji, jakie uzyskał organ nadzorczy o stwierdzonych nieprawidłowościach w zakresie przetwarzania danych. Takie informacje mogą pochodzić ze źródeł powszechnie dostępnych lub od osób zainteresowanych, które zwracają uwagę PUODO na pewne nieprawidłowości. Oczywiście najpopularniejszym wskazaniem do przeprowadzenia kontroli będzie skarga osoby, której dane dotyczą, na administratora przetwarzającego jej dane, w ocenie tej osoby w sposób nieprawidłowy.
RODO wprowadziło wysokie kary za naruszenie jego przepisów. Art. 83 RODO stanowi, że administracyjnej karze pieniężnej w wysokości do 10 mln euro, a w przypadku przedsiębiorstwa - w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, podlega brak wdrożenia przez administratora lub podmiot przetwarzający odpowiednich środków technicznych i organizacyjnych w celu ochrony przetwarzanych danych osobowych. Z kolei administracyjnej karze pieniężnej w wysokości do 20 mln euro, a w przypadku przedsiębiorstwa - w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, podlega m.in. naruszenie podstawowych zasad przetwarzania, w tym warunków uzyskania zgody od osób, których dane są przetwarzane.
Polska ustawa o ochronie danych osobowych w zakresie administracyjnych kar pieniężnych odsyła bezpośrednio do unijnego rozporządzenia, obniżając jedynie wysokość kar dla instytucji publicznych. Prezes UODO może nałożyć, w drodze decyzji, administracyjne kary pieniężne w wysokości do 100 tys. zł na jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1-12 i pkt 14 ustawy o finansach publicznych (Dz. U. z 2024 r. poz. 1530 ze zm.). Kary pieniężne w wysokości do 10 tys. zł Prezes UODO może nakładać na jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 13 ustawy o finansach publicznych, czyli na państwowe i samorządowe instytucje kultury.
Kary pieniężne nie są jedynymi środkami, które mogą być stosowane przez Prezesa UODO. RODO przewiduje również inne środki, które mogą być wykorzystywane zamiast kary pieniężnej lub razem z nią.
Takimi środkami mogą być m.in.:
Jak ważna jest współpraca z organem nadzorczym w zakresie ochrony danych osobowych, przekonało się już wielu przedsiębiorców. Urząd Ochrony Danych Osobowych informuje, że: "Brak współpracy oraz niezapewnienie Prezesowi UODO dostępu do informacji niezbędnych do realizacji jego zadań, to wciąż występujące po stronie administratorów uchybienia, które stają się także przyczyną nakładania administracyjnych kar pieniężnych".
Organowi nadzorczemu przysługuje wiele uprawnień, w tym prawo do uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i niezbędnych dla niego informacji. Ponadto organowi temu przysługuje uprawnienie do uzyskania dostępu do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych. Współpraca z organem nadzorczym jest ważna. Jej brak jest działaniem utrudniającym organowi wykonywanie obowiązków i mogącym powodować nadmierne oraz nieuzasadnione wydłużenie prowadzonych postępowań, a tym samym naruszenie praw obywateli związanych z ochroną ich danych osobowych. Należy również zwrócić uwagę, iż udaremnianie lub utrudnianie kontrolującemu prowadzenia kontroli przestrzegania przepisów o ochronie danych osobowych zagrożone jest karą grzywny, karą ograniczenia wolności albo pozbawienia wolności do lat dwóch. Tej samej karze podlega ten, kto, w związku z toczącym się postępowaniem w sprawie nałożenia administracyjnej kary pieniężnej, nie dostarcza danych niezbędnych do określenia podstawy wymiaru administracyjnej kary pieniężnej lub dostarcza dane, które uniemożliwiają ustalenie podstawy wymiaru administracyjnej kary pieniężnej.
Na stronie UODO www.uodo.gov.pl znajduje się podsumowanie wymierzanych przez UODO kar. Można tam przeczytać, iż: "Jedną z najczęściej spotykanych jest przypadek, gdy administrator utrudnia dostęp do informacji niezbędnych do realizacji zadań Prezesa UODO, unikając odbierania kierowanej do niego korespondencji. Przykładowo, Prezes UODO ukarał administratora, który nie zareagował na wezwanie do złożenia wyjaśnień w postępowaniu ze skargi dotyczącej utrwalania wizerunku skarżącej za pomocą monitoringu wizyjnego bez podstawy prawnej oraz na niespełnieniu wobec niej obowiązku informacyjnego. Sprawa zakończyła się nałożeniem na tego administratora kary w wysokości blisko 6,8 tys. zł".
Administratorzy mają obowiązek gromadzić informacje o wszystkich naruszeniach ochrony danych osobowych także tych, których nie trzeba zgłaszać Prezesowi UODO. Obowiązek prawny dokumentowania naruszeń ochrony danych osobowych wynika z art. 33 ust. 5 RODO. Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu na weryfikowanie przestrzegania RODO.
W najnowszym Biuletynie UODO znalazła się publikacja dotycząca dokumentowania naruszeń ochrony danych. Taka dokumentacja może mieć duże znaczenie zarówno przy zgłaszaniu naruszeń organowi nadzorczemu, jak i stanowić dowód podczas kontroli. Prowadzenie takiej dokumentacji jest nie tylko obowiązkiem prawnym, to narzędzie, które pomaga organizacjom lepiej zarządzać naruszeniami ochrony danych osobowych. Gromadzenie informacji na ten temat umożliwia pogłębioną analizę zagrożeń i ułatwia dobieranie skutecznych zabezpieczeń. Dokumentacja zawierająca informacje o wykrytych naruszeniach ochrony danych osobowych jest podstawą do wykazania, że administrator działa zgodnie z przepisami. Ma to związek z zasadą rozliczalności (art. 5 ust. 2 RODO). Dokumentowanie naruszeń ochrony danych osobowych jest wyłącznym obowiązkiem administratorów. Podmioty przetwarzające powinny jednak pomagać w jego realizacji, np. poprzez przekazywanie administratorom wszelkich niezbędnych informacji o naruszeniach ochrony danych osobowych (art. 28 ust. 3 lit. f RODO).
Administratorzy powinni na bieżąco aktualizować katalog wykrytych naruszeń ochrony danych osobowych, utrwalając informacje w odpowiednich rejestrach. Choć odrębna ewidencja nie jest formalnie wymagana, musi być wyraźnie oznaczona i dostępna do wglądu na żądanie Prezesa UODO.
Jak już wspomniano, obowiązek dokumentowania obejmuje wszystkie naruszenia ochrony danych osobowych, bez względu na to, czy wymagają one zgłoszenia organowi nadzorczemu. Rejestr naruszeń ochrony danych osobowych jest dokumentem, w którym administrator powinien zamieścić m.in. uzasadnienie decyzji o niezgłaszaniu naruszenia ochrony danych osobowych, w przypadku zaistnienia ku temu stosownej przesłanki (art. 33 ust. 1 RODO). Ma to szczególne znaczenie, gdy z czasem ocena incydentu ulegnie zmianie i jego zgłoszenie do PUODO stanie się konieczne.
W RODO nie wskazano okresów przechowywania informacji o naruszeniach ochrony danych osobowych. Administratorzy powinni więc dysponować pełną dokumentacją tak długo i w takim zakresie, w jakim związani są zasadą rozliczalności. Innymi słowy, jak najdłużej. Z tego powodu umieszczanie w takim rejestrze jakichkolwiek danych osobowych nie jest zalecane. Jeżeli jednak tam się znajdą, należy pamiętać o ich prawidłowej ochronie, w tym o zasadzie ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO).
Rejestr naruszeń ochrony danych osobowych powinien uwzględniać m.in.:
|
Plan kontroli sektorowych UODO na 2025 r. W Planie kontroli sektorowych UODO na 2025 r. znalazły się sektory, w których coraz częściej pojawiają się zagrożenia naruszania przepisów o ochronie danych osobowych. UODO wziął też pod uwagę te obszary, które budzą duże społeczne zainteresowanie. Plan kontroli sektorowych UODO na 2025 rok przedstawia się następująco:
|
| ||||||||||||
|
||||||||||||
