Fajgielski Paweł, Czynności kontrolne GIODO

Czynności kontrolne GIODO

Zgodnie z art. 175 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. poz. 1000), art. 1, art. 2, art. 3 ust. 1, art. 4-7, art. 14-22, art. 23-28, art. 31 oraz rozdziały 4, 5 i 7 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723) zachowują moc w odniesieniu do przetwarzania danych osobowych w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, prowadzenia postępowań w sprawach dotyczących tych czynów oraz wykonywania orzeczeń w nich wydanych, kar porządkowych i środków przymusu w zakresie określonym w przepisach stanowiących podstawę działania służb i organów uprawnionych do realizacji zadań w tym zakresie, w terminie do dnia wejścia w życie przepisów wdrażających dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającą decyzję ramową Rady 2008/977/WSiSW (Dz. Urz. UE L 119 z 04.05.2016, str. 89).

Zgodnie z art. 166 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. poz. 1000), z dniem wejścia w życie przedmiotowej ustawy Generalny Inspektor Ochrony Danych Osobowych staje się Prezesem Urzędu Ochrony Danych Osobowych. Osoba, która została powołana na stanowisko Generalnego Inspektora Ochrony Danych Osobowych, na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723), pozostaje na stanowisku do czasu upływu kadencji, na którą została powołana.

Czynności kontrolne przeprowadzane są przez inspektorów biura GIODO z reguły w miejscu, w którym kontrolowany prowadzi działalność (realizuje procesy przetwarzania danych osobowych). Ustawa o ochronie danych osobowych określa zakres uprawnień kontrolerów i obowiązki kontrolowanych. W piśmiennictwie zwraca się uwagę, że do kontroli działalności przedsiębiorców sprawowanej przez inspektorów GIODO nie mają zastosowania przepisy rozdziału V u.s.d.g. (ograniczenia dotyczące kontroli), gdyż przepisy u.o.d.o. mają charakter przepisów szczególnych względem przepisów u.s.d.g. (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Warszawa 2011, s. 420, jednak odmienny pogląd w tej kwestii prezentują P. Barta i P. Litwiński, Ustawa o ochronie danych osobowych. Komentarz, Warszawa 2013, s. 149).

Niektóre czynności związane z kontrolą leżą w kompetencjach Generalnego Inspektora, natomiast pozostałe realizowane są przez inspektorów zatrudnionych w Biurze GIODO. Czynności kontrolne podejmowane przez inspektorów są czynnościami faktycznymi (czynnościami materialno-technicznymi).

W przypadku, gdy zachodzą podmiotowe ograniczenia kontroli, określone w art. 43 ust. 2 u.o.d.o., czynności kontrolne są prowadzone w ograniczonym zakresie - w tym przypadku GIODO jest uprawniony do działań określonych w art. 14 pkt 2 u.o.d.o., a więc może jedynie żądać złożenia pisemnych lub ustnych wyjaśnień oraz wzywać i przesłuchiwać osoby w zakresie niezbędnym do ustalenia stanu faktycznego, natomiast pozostałe uprawnienia kontrolne organu zostały przez ustawodawcę wyłączone.

Aby inspektorzy mogli podjąć czynności kontrolne, konieczne jest wydanie im imiennych upoważnień do przeprowadzenia czynności kontrolnych. W upoważnieniu wskazane być powinny informacje istotne dla przebiegu kontroli takie jak: dane inspektora, przedmiot i zakres kontroli, data rozpoczęcia i przewidywany termin zakończenia kontroli. Upoważnienie powinno być podpisane przez Generalnego Inspektora bądź jego zastępcę. Elementy upoważnienia określa art. 15 ust. 4 u.o.d.o., natomiast wzór upoważnienia określony został w rozporządzeniu wykonawczym do ustawy.

Przepisy u.o.d.o. nie nakładają na Generalnego Inspektora obowiązku informowania o zamiarze przeprowadzenia kontroli. W praktyce jednak GIODO przyjął zasadę informowania o zamiarze kontroli - jak się wydaje - głównie ze względów logistycznych. Należy jednak podkreślić, że skoro GIODO nie ma obowiązku zawiadamiania o zamiarze przeprowadzenia kontroli, to może się wyjątkowo zdarzyć, iż kontrola zostanie przeprowadzona bez uprzedzenia. Dzieje się tak wówczas, gdy informacje, którymi dysponuje organ wskazują na bardzo poważne nieprawidłowości przy przetwarzaniu danych, a informowanie mogłoby pociągać za sobą obawę, że podmiot kontrolowany będzie usiłował zatrzeć ślady bądź ukryć dowody naruszających prawo działań.