Biuletyn Informacji Publicznej RPO

27 kwietnia 2016 r. Parlament Europejski i Rada przyjęły dwa akty: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej jako: rozporządzenie ogólne) oraz dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW (dalej jako: dyrektywa 2016/680).

Obecnie, według informacji przekazanych przez Ministerstwo Cyfryzacji, trwają prace nad przygotowaniem przepisów krajowych, które będą miały na celu uzupełnienie przepisów rozporządzenia ogólnego w zakresie dozwolonym lub wymaganym przez prawo UE. Jednocześnie rząd nie przekazał do publicznej wiadomości informacji, czy rozpoczęły się prace nad ustawą, która implementowałaby do krajowego porządku prawnego przepisy dyrektywy 2016/680.

Rzecznik podkreślił, że ochrona osób fizycznych w zakresie przetwarzania danych osobowych jest jednym z praw podstawowych, o których stanowi art. 8 ust. 1 Karty Praw Podstawowych Unii Europejskiej (KPP UE) oraz art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE). Konieczne jest stworzenie i przyjęcie takich przepisów, które będą wyważały obowiązki państwa w zakresie zapewnienia bezpieczeństwa z prawami jednostki. Należy przy tym zaznaczyć, że ratio legis nowych ram prawnych ochrony danych w UE miało być uwspółcześnienie ochrony danych osobowych, podniesienie poziomu ochronnego, a także przyznanie większej kontroli osobom, których dane dotyczą, nad całością procesów przetwarzania danych.

Ponadto Rzecznik wskazał, że przyjęcie ustawy wdrażającej dyrektywę 2016/680 wiązać się będzie z koniecznością podjęcia kilku kierunkowych decyzji, m.in.: ustalenia zakresu pojęcia „właściwe organy”, o którym mowa w art. 1 ust. 1 oraz w art. 3 pkt 7 dyrektywy 2016/680 i rozważenia, które z działających w Polsce służb mogą być wyłączone spod jej postanowień oraz określenia zasad współpracy właściwych organów – realizację wniosków o pomoc wzajemną obejmującą wnioski o udzielenie informacji, czy środki nadzorcze (konsultacje, kontrole czy postępowania). Zasady tej współpracy i wykładnia niektórych pojęć prawnych musi zostać uzgodniona z innymi państwami członkowskimi, zanim projekt ustawy zostanie przyjęty.

W ocenie Rzecznika dyrektywa 2016/680 jest – z punktu widzenia praw jednostki – aktem bardzo doniosłym, gdyż po raz pierwszy podejmuje problematykę regulacji ochrony danych osobowych w obszarze prawa karnego i współpracy organów, których zadaniem jest zwalczanie przestępczości. Jednocześnie jednak jest aktem dość ogólnym, pozostawiającym wiele miejsca na uznanie krajowego ustawodawcy. Wszelkie decyzje muszą jednak uwzględniać standardy KPP UE, a także prowadzić do efektywności przyjętych rozwiązań i realizacji celu reformy – spójności systemu tworzonego w ramach całej UE.

Rzecznik zwrócił się do Ministrów z prośbą o informację, czy projekt ustawy, która implementowałaby do krajowego porządku prawnego przepisy dyrektywy 2016/680, jest przedmiotem prac w resortach. Poprosił także o przybliżenie harmonogramu prac, w szczególności daty przedstawienia pierwszej wersji projektu oraz przewidywanych terminów publicznych konsultacji tegoż projektu.