Fajgielski Paweł, Czynności pokontrolne GIODO

Czynności pokontrolne GIODO

Zgodnie z art. 175 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. poz. 1000), art. 1, art. 2, art. 3 ust. 1, art. 4-7, art. 14-22, art. 23-28, art. 31 oraz rozdziały 4, 5 i 7 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723) zachowują moc w odniesieniu do przetwarzania danych osobowych w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, prowadzenia postępowań w sprawach dotyczących tych czynów oraz wykonywania orzeczeń w nich wydanych, kar porządkowych i środków przymusu w zakresie określonym w przepisach stanowiących podstawę działania służb i organów uprawnionych do realizacji zadań w tym zakresie, w terminie do dnia wejścia w życie przepisów wdrażających dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającą decyzję ramową Rady 2008/977/WSiSW (Dz. Urz. UE L 119 z 04.05.2016, str. 89).

Zgodnie z art. 166 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. poz. 1000), z dniem wejścia w życie przedmiotowej ustawy Generalny Inspektor Ochrony Danych Osobowych staje się Prezesem Urzędu Ochrony Danych Osobowych. Osoba, która została powołana na stanowisko Generalnego Inspektora Ochrony Danych Osobowych, na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723), pozostaje na stanowisku do czasu upływu kadencji, na którą została powołana.

Czynności pokontrolne realizowane przez Generalnego Inspektora Ochrony Danych Osobowych uznawane są w piśmiennictwie przedmiotu za ostatni etap kontroli (szerzej: P. Fajgielski, Kontrola przetwarzania i ochrony danych osobowych. Studium teoretyczno-prawne, Lublin 2008, s. 266 i n.). W zależności od wyników przeprowadzonej kontroli GIODO jest zobowiązany do podjęcia działań zmierzających do przywrócenia stanu zgodnego z prawem i pociągnięcia do odpowiedzialności osób winnych naruszeń. W przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych, Generalny Inspektor powinien wszcząć postępowanie zmierzające do wydania decyzji nakazującej przywrócenie stanu zgodnego z prawem. W przypadku stwierdzenia uchybień przez konkretne osoby, inspektor prowadzący kontrolę może żądać od administratora danych bądź podmiotu przetwarzającego dane na zlecenie, wszczęcia postępowania dyscyplinarnego lub innego przewidzianego prawem postępowania przeciwko osobom winnym dopuszczenia do uchybień. Ponadto GIODO ma obowiązek zawiadomienia organów ścigania w sytuacji, gdy działania podmiotu kontrolowanego wyczerpują znamiona przestępstwa.

Analiza protokołu kontroli prowadzić może do stwierdzenia naruszenia przepisów o ochronie danych osobowych. Naruszenia dotyczyć mogą różnego rodzaju nieprawidłowości w procesach przetwarzania danych osobowych, w szczególności: braku podstawy dopuszczalności przetwarzania danych; nieprzestrzegania zasad ochrony danych osobowych; nierespektowania uprawnień osób, których dane poddawane są przetwarzaniu; bezprawnego udostępniania lub odmowy udostępniania danych; nienależytego zabezpieczenia danych bądź niezgłoszenia zbioru danych do rejestracji.

W przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych inspektor powinien wystąpić do Generalnego Inspektora o wszczęcie postępowania administracyjnego, w celu wydania decyzji nakazującej przywrócenie stanu zgodnego z prawem. Jak wskazuje się w doktrynie, wniosek skierowany do Generalnego Inspektora przez inspektora przeprowadzającego kontrolę o wszczęcie postępowania występuje w sferze wewnętrznej urzędu (Biura GIODO), por. G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 137.