z w ielkich problem ów współczesnego świata je st prowadzenie polityki charakte ryzującej się umiarkowaniem , m oralnością oraz zdolnością do kompromisów.
Aleksandra Bagieńska-Masiota
PoznańGrzegorz Sibiga, Postępowanie w sprawach ochrony da
nych osobowych, Dom Wydawniczy ABC, Warszawa
2003, ss. 228.
O d w ejścia w życie ustaw y z dnia 29 sierpnia 1997 r. o ochronie danych oso bow ych (dalej: u.o.d.o.) m inęło ju ż kilka lat jej praktycznego stosowania, zarów no przez administratorów, ja k i organ ochrony danych powołany do życia na jej mocy. Ten akt norm atywny wym agał ju ż kilku nowelizacji, które w pływ ająna od mienną, bardziej korzystną, ocenę w dniu dzisiejszym niźli tuż po jej uchwaleniu. U stawa doczekała się licznych obszernych kom entarzy i skrótowych omówień, często autorstwa osób, których nazw iska po wielokroć pojawiały się wcześniej przy okazji opisywania różnorakich aspektów ochrony dóbr osobistych. Dla przykładu m ożna przytoczyć nazw iska J. Barty, R. M arkiewicza, A. Mednisa, M. Safjana. Przecież przy okazji ochrony danych osobowych dostrzegalny jest w yraźny związek z ochroną prywatności, która jako dobro osobiste nie jest wpraw dzie w yrażona explicite w art. 23 k.c., jednak jej istnienia jako dobra osobi stego o charakterze samoistnym dzisiaj nikt ju ż co do zasady nie kwestionuje. W świetle otwartego katalogu dóbr osobistych zam ieszczonego w e w spom nia nym przepisie k.c. panuje w doktrynie i orzecznictwie zgoda co do możliwości wyodrębnienia prywatności i poddania jej ochronie cywilnoprawnej.
M ówi się, że ochrona danych osobowych stwarza gwarancję dla ochrony pry watności, co zresztą podkreślane je st w w ielu aktach praw a międzynarodowego, konstytucjach, ustawach zwykłych oraz potw ierdzane przez prawnicze piśm ien nictwo.
W ogólny trend kom entowania polskiej ustaw y o ochronie danych osobowych wpisuje się książka G. Sibigi zatytułowana Postępowanie w sprawach ochrony
danych osobowych. Dużym uproszczeniem byłoby jednak nazwanie jej kolejnym
kom entarzem do aktu normatywnego, czy naw et jego omówieniem, bow iem A u tor przyjął dla opracowania specyficzny punkt widzenia zagadnienia, sugerowany tytułem, i stara się nie wykraczać poza narzucone sobie granice tematyczne.
Praca składa się z trzech rozdziałów, z których pierwszy poświęcony je st pod stawowym zagadnieniom w prowadzającym do tem atu opracowania. Dw a kolejne rozdziały poświęcone są postępowaniu przed administratorem danych (rozdział II) oraz przed organem ochrony danych osobowych (Generalnym Inspektorem O chrony Danych Osobowych, zwanym dalej GIODO) w rozdziale III.
U kład pracy je st czytelny głównie dzięki konsekwentnem u realizowaniu przez A utora zasady, że m a koncentrować się na zagadnieniach proceduralnych, jedynie w niezbędnym zakresie odwołując się do kwestii związanych z genezą idei ochrony danych osobow ych czy definicji legalnych, bez których omówienia nie m ożna sobie wyobrazić analizowania tematu. Zatem w pierwszym rozdziale A utor w skazuje genezę potrzeby wyodrębnienia adm inistracyjnoprawnej regla m entacji przetw arzania danych osobowych, wywodząc j ą od wspomnianego już praw a do prywatności, którego ochrona w ram ach konstrukcji cywilnoprawnego dobra osobistego okazała się w dzisiejszych czasach niewystarczająca. Stało się tak wskutek rozwoju nowych technologii przetw arzania wszelkich informacji, w tym inform acji o osobach fizycznych. Łatwość tw orzenia cyfrowych baz da nych, możliwość szybkiego ich przekazyw ania za pom ocą urządzeń służących do cyfrowego przesyłu danych - wszystko to stwarza realne zagrożenie dla pryw at ności tradycyjnie pojmowanej jako right to be let alone. Jakkolwiek dane osobo w e odnoszą się do wąskiego pojm ow ania prywatności, czyli tzw. autonomii informacyjnej, nie m ożna wszak wykluczyć narażenia sfery życia prywatnego w jego rozm aitych aspektach. Potrzeba stworzenia gwarancji dla prawidłowego dysponow ania inform acjam i o jednostce została dostrzeżona w prawie m iędzyna rodowym na płaszczyźnie prac Rady Europy oraz w praw ie w spólnotow ym Unii Europejskiej. G. Sibiga w skazuje na pionierskie na szczeblu m iędzynarodowym (wcześniej były bow iem jednostkow e ustaw y zwykłe m.in. w Szwecji, Francji, Austrii i Danii) rozwiązania Konwencji nr 108 Rady Europy z dnia 28 stycznia 1981 r. o ochronie osób w związku z zautom atyzowanym przetw arzaniem danych osobowych. 24 października 1995 r. Parlam ent Europejski i Rada uchw aliły D y rektyw ę unijną 95/46/W E w sprawie ochrony osób w zw iązku z przetwarzaniem danych osobowych oraz swobodnego przepływ u tych danych. Słusznie zwraca się uw agę na fakt, że te dwa akty praw a międzynarodowego stanowiły trzon m eryto ryczny w pracach nad polską ustaw ą dotyczącą tej materii. U stawa z 1997 r. jest również w ynikiem konieczności harm onizacji polskiego praw a wewnętrznego z unijnym , do czego zobow iązyw ał układ stowarzyszeniowy z 1991 r. Polska ustaw a (choć nie czyniła tego od razu) w dniu dzisiejszym uwzględnia wszelkie zalecenia dyrektywy, ponadto daje gwarancje ochrony danych osobowych w ym a gane do ratyfikacji Konwencji 108 Rady Europy, której Polska je st obecnie stroną.
W rozdziale pierwszym A utor opisuje ponadto w dużym skrócie cyw ilno praw ną ochronę danych osobowych, która koncentrować się będzie na treści art. 23, 24 i 448 k.c.
Wreszcie na zakończenie rozdziału wprowadzającego Prawnik omawia konsty tucyjne gwarancje ochrony danych osobowych (art. 47 i 51 Konstytucji RP) oraz podstawowe definicje legalne, bez których znajomości i rozumienia wszelka dys- kusj a na tematy proceduralne byłaby bezprzedmiotowa. Charakterystykę pojmowa nia samych danych osobowych oraz ich przetwarzania wpisuje on w rozważania nad przedmiotowym i podmiotowym zakresem obowiązywania ustawy z 1997 r.
Rozdział drugi w pełni poświęcono postępowaniu przed adm inistratorem d a nych osobow ych, rozpoczynając w szelkie rozw ażania od prezentacji definicji legalnej adm inistratora, jako podm iotu sprawującego władztwo w procesie prze twarzania danych o osobach fizycznych. Pom im o, iż funkcjonow anie adm ini stratora poddano regulacji praw a publicznego, to obok organów adm inistracji publicznej m ogą być nim w szelkie podmioty prywatnoprawne (osoby fizyczne, osoby prawne, jednostki organizacyjne nie posiadające osobowości prawnej). Obowiązki adm inistratora danych w ynikają z norm praw a adm inistracyjnego m a terialnego. Ich realizacja byw a jednak uzależniona od skierowania do niego żądań podm iotów pozostających na zewnątrz struktury administratora. Pojawia siępyta- nie: czy realizacja tych obowiązków m a przebiegać według norm proceduralnych zawartych w k.p.a. z modyfikacjam i w ynikającymi z u.o.d.o., czy też uznać nale ży regulację u.o.d.o. w tym przypadku za sam oistną (jakkolwiek zapewne niew y starczającą dla oceny obligatoryjności pew nych zachowań adm inistratora oraz formy podejmowanych działań, co budzić musi zastrzeżenia). Rozwiązanie posiłku jące się przepisam i k.p.a. je st w ygodne, ale sprzeczne z zakresem podmiotowym stosowania kodeksu. Ponadto rzutowałoby na nadanie działaniom adm inistratora przym iotu decyzji administracyjnej lub formy zaświadczenia, zaś zaniechania ad m inistratora m usiałyby być kwalifikowane ja k niezałatwienie przez organy adm i nistracji publicznej sprawy w kodeksowym terminie.
Rozsądnym w ydaje się rozwiązanie, które nasuwa się po analizie charaktery styki poszczególnych typów norm praw a adm inistracyjnego materialnego. N or my nakazujące adm inistratorowi podjęcie działań należy potraktować jako normy stosowane bezpośrednio (nakazy, zakazy), realizowane jednak dopiero w sytuacji otrzym ania żądania uprawnionego podmiotu. GIODO sprawuje zatem kontrolę podjętą wskutek pow zięcia w iadom ości o niezgodnym z ustaw ą postępow aniu administratora.
Normy administracyjnoprawne nakazują podjęcie działań, których formy nie przesądzają. B ędą to następujące działania faktyczne podejmowane na wniosek osoby, której dane dotyczą: udzielenie informacji o posiadaniu i procesach przetwa rzania danych, aktualizacja, uzupełnienie, poprawienie, zaprzestanie przetwarzania z uwagi na szczególną sytuację lub w związku ze sprzeciwem wobec przetwarzania w celach marketingowych lub przekazywania ich innym administratorom, przy stąpienie do ponownego rozpatrzenia sprawy rozstrzygniętej z naruszeniem zaka zu automatyzacji decyzji indywidualnych. N a żądanie podmiotów, które są w stanie uwiarygodnić uzasadnioną potrzebę posiadania danych o osobie administrator może informacje udostępnić również w drodze działań faktycznych.
Pytanie ważniejsze dotyczy formy odmowy wykonania wyżej opisanych działań faktycznych. W ydaje się, że zarówno bezczynność adm inistratora, jak i odm ow a w jakiejkolw iek, dowolnie wybranej przez niego formie, będzie stano wić podstaw ę do podjęcia działań kontrolnych przez GIODO (odmowa nie m a przym iotu decyzji adm inistracyjnej, choćby przyjęła formę pisemną, a pismo było skonstruowane w m yśl art. 107 k.p.a.). W szak o tej odmowie GIODO musi
powziąć wiadomość. Czasem nastąpi to poprzez skargę osoby żądającej, w pew nych zaś przypadkach ustaw a zobowiązuje adm inistratora do przekazania organo w i adm inistracyjnem u negatyw nie załatwionego żądania. W ykazanie podczas kontroli nieprawidłow ości w postępow aniu adm inistratora uprawnia Inspektora do wydania decyzji nakazowej.
Spór co do formy prawnej załatwiania spraw przez adm inistratora danych osobowych Prawnik rozstrzyga n a rzecz opisanej konstrukcji norm y stosowanej bezpośrednio, której działanie aktualizuje otrzym anie żądania (jakkolwiek nie posługuje się tym nazewnictwem ). Odm awia on natom iast słuszności, nie bez ra cjonalnych argumentów, tym, którzy uważają, iż adm inistrator stosuje przepisy k.p.a. czy to w zakresie rozstrzygania spraw indywidualnych w drodze decyzji ad m inistracyjnej (co kompetencje kontrolne GIODO czyniłoby bezprzedm iotow y m i i stawiałoby dalsze pytanie o drogę odwoławczą), czy to poprzez wydawanie zaświadczeń.
Pozostałą do om ówienia w książce kw estię stanowi postępow anie adm inistra cyjne w yjaśniające i główne prowadzone przez organ ochrony danych osobo wych. Tem atyką tą zajmuje się G. Sibiga w rozdziale trzecim. W przypadku postępow ania przed GIODO nie budzi ju ż wątpliwości, iż toczyć się ono będzie w edług przepisów k.p.a. z uwzględnieniem m odyfikacji w ynikających z u.o.d.o., o czym m ówi w prost analizowana ustaw a (art. 22).
Przy okazji opisywania uczestników postępowania Autor podaje niezbędne inform acje dotyczące pow oływania i odwoływ ania GIODO, jego pozycji ustrojo wej oraz funkcjonowania Biura. Jest to również okazja do w skazania innych, poza adm inistracyjnoprawnymi, uprawnień GIODO w sferach praw a karnego oraz od powiedzialności pracowniczej. Uczestnikiem postępowania je st również adm ini strator danych, do niego bowiem będzie skierowany indywidualny i konkretny akt prawa, zaw ierający zakazy lub nakazy. N ie będzie natom iast uczestnikiem, ani adresatem decyzji podm iot adm inistrujący danym i na zlecenie adm inistratora, do póty, dopóki sam nie zacznie decydować o celach i środkach przetw arzania da nych. Podm iot ten ponosi wobec adm inistratora co najwyżej odpowiedzialność cywilnoprawną ex contractu (za zachowanie niezgodne z umową). Wreszcie analizie poddano status osoby zainteresowanej, która może być inicjatorem postępowania nakazowego lub postępowania w sprawie w ydania zaświadczenia o zarejestrowa niu zbioru. Przepisy u.o.d.o. dają również podstaw ę do wyróżnienia w grupie uczestników postępow ania również takich osób ja k świadek, biegły, osoba trzecia wzyw ana do okazania przedm iotu o g lę d z in -b ę d ą one traktowane jako źródła do wodowe w postępow aniu głównym.
G łówny trzon działań GIODO stanowi postępow anie adm inistracyjne skiero w ane na wydanie nakazu lub zakazu, zazwyczaj poprzedzone postępowaniem w yjaśniającym w ramach uprawnień kontrolnych organu, które są wykonywane za pośrednictw em inspektorów zatrudnionych w Biurze. W szczęcie postępow a nia następuje z urzędu lub na wniosek osoby zainteresowanej, osoby, której dane dotycząalbo adm inistratora, bow iem przepisy u.o.d.o. obligujągo do przekazania
sprawy negatywnie załatwionego żądania innych podmiotów. Autor koncentruje się na analizie momentu wszczęcia postępow ania adm inistracyjnego w rozum ie niu k.p.a., gdyż sytuacja inaczej będzie w yglądać w przypadku jego inicjacji z urzędu, inaczej na wniosek, gdzie znów pojaw ią się odm ienności wynikające z różnego statusu wnioskodawcy oraz treści wniosku. G. Sibiga w yróżnia w ra mach czynności podejmowanych przez organ ochrony danych osobowych postę pow anie wyjaśniające, które będzie zawierać się w uprawnieniach kontrolnych, lecz nie je st jeszcze postępow aniem adm inistracyjnym sensu stricto. Dopiero później następuje etap postępow ania adm inistracyjnego głównego, w którym uprawnienia kontrolne również znajdą swe miejsce, lecz ju ż zaliczone zostaną do czynności z zakresu postępowania dowodowego (jako jego wycinek, bowiem jako dow ód należy w myśl k.p.a. dopuścić wszystko, co m oże się przyczynić do wyjaśnienia sprawy, a nie je st sprzeczne z prawem).
Nieodłącznym elem entem analizy postępow ania nakazowego pozostaje za gadnienie decyzji kończącej postępowanie. Wydaje się, że kom petencja GIODO do orzekania w drodze decyzji administracyjnej w sprawach naruszenia przepi sów o ochronie danych osobow ych, daje podstaw ę do oceny u.o.d.o. ja k o lex
generalis w stosunku do innych aktów normatywnych regulujących usuwanie
niepraw idłowości przy adm inistrowaniu danymi. Stąd w systemie praw a można spotkać także kompetencje innych organów w tym przedmiocie, w prowadzone na m ocy lex specialis.
Postępow anie rejestracyjne zbioru danych osobowych bez w ątpienia je st w y konaniem norm y konkretyzowanej przez czynność materialno-techniczną. Prze ciwko takiem u rozstrzygnięciu nie przem aw ia fakt, że ustawa nie nakazuje automatycznego w ydania zaśw iadczenia o w pisie zbioru danych do rejestru (za świadczenia o dokonaniu czynności materialno-technicznej). Odm owa rejestracji zawsze będzie dokonywać się w formie decyzji adm inistracyjnej, z tym jednak, że będzie ona wywoływać dwojaki skutek. Po pierw sze daje ona podstaw ę do złoże nia wniosku o ponowne rozpatrzenie sprawy (guasi-odwołanie), po drugie stwarza możliwość ponownego zgłoszenia zbioru do rejestracji po usunięciu niepra widłowości, które były przyczyną decyzji odmawiającej rejestracji. O ile ju ż od dnia złożenia pierwotnego wniosku o rejestrację dopuszczalne je st przetwarzanie danych w zbiorze, to przy ponownym zgłoszeniu do rejestracji przetwarzanie sta je się dopuszczalne dopiero po rejestracji. Stąd chyba słusznie A utor zauważa, że jeśli adm inistrator przy w pisie do rejestru nie m a zapewnionego automatycznego w ydania zaświadczenia o zarejestrowaniu, to chw ilą decydującą o możliwości ak tywnego przetwarzania danych będzie ogłoszenie lub doręczenie decyzji o reje stracji. Choć ustaw odaw ca nie przewidział w prost rezygnacji z konstrukcji normy konkretyzowanej przez czynność m aterialno-techniczną na rzecz konkretyzacji w drodze aktu adm inistracyjnego, sugestię taką podsuw a w zgląd na dbałość o uzasadniony interes praw ny adm inistratora (wykładnia celowościowa). Piszący zw raca ponadto uw agę na lakoniczność i niejasność przepisów ustawy w kw e stiach proceduralnych regulujących obow iązek aktualizacji rejestracji przez
adm inistratora zbioru danych oraz na brak skutecznych uprawnień GIODO um oż liwiających w ydanie decyzji o odmowie w pisu zm ian wynikających z aktualizacji z powodu ich niezgodności z praw dą lub prawem.
W gestii GIODO leży również wydawanie decyzji w przedm iocie wyrażania zgody na przekazywanie danych osobowych za granicę. N ie bez racji Twórca opracow ania stw ierdza, że pojęcie „przekazyw anie” je st szerszym od użytego także w ustawie zwrotu „udostępnianie” . Przekazywanie za granicę m oże mieć również miejsce wówczas, gdy dane kierowane są do położonego poza granicami RP podm iotu adm inistrującego danym i w im ieniu i na rzecz adm inistratora (na mocy umowy), ja k i wtedy, gdy w ędrują wew nątrz struktury adm inistratora, lecz do jednostki organizacyjnej położonej za granicą. Wyrażenie zgody przez GIODO na przekazyw anie nie zawsze będzie koniecznością. Gdy kraj docelowy daje gw a rancje zapew nienia danym odpowiedniej ochrony, co najmniej takiej ja k prawo polskie lub gdy obowiązek przekazania danych obciąża adm inistratora na mocy obowiązujących przepisów prawa, zgoda nie je st wymagana. Od tej konieczności zw alnia również wykazanie jednej z sześciu okoliczności w ym ienionych w art. 47 ust. 3 u.o.d.o. W stępne badanie, czy nie zachodzi jedna z przyczyn anulujących obowiązek wystąpienia przez adm inistratora z wnioskiem do GIODO należy właśnie do samego administratora, stąd realizacja upraw nienia decyzyjnego GIODO z art. 48 u.o.d.o. będzie znacznie ograniczona. Częściej natom iast może dochodzić do interwencji Inspektora w sytuacji stwierdzenia nieprawidłowego przekazywania danych (bez jego zgody) na bazie upraw nień w postępow aniu n a kazowym (o którym wyżej).
K siążkę kończą ogólne uwagi n a tem at postępow ania w sprawie w ydania za świadczenia o zarejestrowaniu zbioru danych, które to w iąże się bezpośrednio z wcześniej om awianym postępowaniem rejestracyjnym. Zaświadczenie w yda w ane je st na podstawie przepisów działu VII k.p.a. z niewielkimi zm ianami w yni kającymi z u.o.d.o., sprowadzającymi się zasadniczo do kwestii określenia osób upraw nionych do otrzym ania zaświadczenia, które ustaw a nazyw a osobami zain teresowanymi, nie posługując się przesłanką interesu prawnego, jak czyni to k.p.a. Zagadnienie to w ymagało zanalizowania.
Z zadowoleniem przyjąć w ypada sięganie przez Autora do tekstów sprawozdań z działalności GIODO, składanych rokrocznie przez Inspektora Sejmowi, są one bowiem źródłem cennych informacji w przedmiocie praktyki stosowania ustawy przez organ adm inistracji publicznej, w szczególności tam, gdzie brak jasnych przepisów praw a adm inistracyjnego procesowego lub materialnego. Docenić tak że trzeba wykazanie przez Prawnika wielu niedoskonałości ustawy i śmiałe kon struowanie przez niego postulatów de lege ferenda, w szczególności jeśli chodzi o dookreślenie charakteru postępowania przed administratorem danych, rozwiąza nie istniejących konfliktów norm u.o.d.o. oraz k.p.a., czy konieczność dopisania norm proceduralnych do postępowania o uaktualnienie rejestracji zbioru danych.
Niew ielkie zastrzeżenia do tekstu opracowania nie m ają zasadniczego w pły w u na jego ocenę. W rozdziale trzecim postępow anie w przedm iocie wniosku
o ponowne rozpatrzenie sprawy przez GIODO A utor nazyw a postępow aniem odw o ław czy m -w y d aje się to praktyką niezgodną z zam ierzeniem ustawodawcy, który w k.p.a. ustanowił wyjątki od dwuinstancyjności postępowania, pisząc iż od decyzji m inistra i samorządowego kolegium odwoławczego wydanych w I instan cji odwołanie nie przysługuje (decyzje GIODO stanowią wyjątek pozakodeksowy). Kwintesencją odwołania jest przeniesienie sprawy administracyjnej do rozpatrzenia przez organ wyższego stopnia, słusznie zatem w literaturze podkreśla się, że wniosek o ponowne rozpatrzenie jest jedynie namiastką odwołania. Wola ustawodawcy, aby do postępowania w przedmiocie tego wniosku odpowiednio stosować przepisy do tyczące postępowania odwoławczego, nie może być poczytana jako upoważnienie do nazw ania go postępowaniem odwoławczym. Sugerowałoby to jego inicjację poprzez złożenie przez stronę odwołania, co przecież nie m a miejsca.
Prawnik nie uwzględnił również istotnej w polskim systemie praw a adm ini stracyjnego zm iany przepisów w zakresie sądowej kontroli zgodności z prawem decyzji adm inistracyjnych. Z dniem 1 stycznia 2004 r. w eszły w życie: ustaw a z dnia 25 lipca 2002 r. Prawo o ustroju sądów adm inistracyjnych oraz ustaw a z dnia 30 sierpnia 2002 r. Prawo o postępow aniu przed sądami administracyjnymi, które dotychczasowe ośrodki zamiejscowe Naczelnego Sądu Administracyjnego zastąpiły wojewódzkimi sądami administracyjnymi. Wyrok wojewódzkich sądów adm inistracyjnych m ożna zaskarżyć skargą kasacyjną do N SA w Warszawie. Choć zapewne w czasie pow stawania książki przepisy te jeszcze nie obowiązy wały, to jednak ich zm iana z początkiem roku 2004 była przesądzona już dawno. Stąd w miejscach, aczkolwiek niewielu, gdzie A utor pisze o możliwości w niesie nia skargi na decyzję do NSA, to w ślad za praktyką czynioną przez ustawodawcę należałoby pisać o skardze do „sądu adm inistracyjnego” .
Podsumowując m ożna powiedzieć, że praca G. Sibigi na tem at postępow ania w sprawach ochrony danych osobowych je st opracowaniem rzetelnym , w którym A utor zaprezentował dobrą znajomość zagadnienia, a ta w szak w ynika z dośw iad czenia zdobytego podczas pracy w Biurze GIODO w charakterze inspektora oraz na stanowisku dyrektora departamentu. Jest on zresztą A utorem i w spółautorem licznych publikacji związanych z ochroną danych osobowych. N ie budzi zastrze żeń przytoczona w rozprawie bibliografia - fakt, iż większość zamieszczonych tam tytułów pochodzi sprzed zaledwie kilku lat je st logiczną konsekw encją nie dawnego pojaw ienia się tej problem atyki w polskim piśmiennictwie.
G. Sibiga sw oją książką poszerzył krąg dostępnych na rynku publikacji na te m at danych osobowych, aczkolwiek nie powielając pomysłu stworzenia kolejnego kom entarza do aktu normatywnego. Ujmując zagadnienie od strony praktycznej, przekazał sw ą w iedzę i doświadczenie na tytułowy tem at w sposób przystępny, a równocześnie w zadowalającym stopniu odnoszący się do piśmiennictwa i orzecz nictwa.
