Fajgielski Paweł, Realizacja wniosku o zaprzestanie przetwarzania danych osobowych i sprzeciwu

Realizacja wniosku o zaprzestanie przetwarzania danych osobowych i sprzeciwu

Zgodnie z art. 175 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. poz. 1000), art. 1, art. 2, art. 3 ust. 1, art. 4-7, art. 14-22, art. 23-28, art. 31 oraz rozdziały 4, 5 i 7 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723) zachowują moc w odniesieniu do przetwarzania danych osobowych w celu rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych, prowadzenia postępowań w sprawach dotyczących tych czynów oraz wykonywania orzeczeń w nich wydanych, kar porządkowych i środków przymusu w zakresie określonym w przepisach stanowiących podstawę działania służb i organów uprawnionych do realizacji zadań w tym zakresie, w terminie do dnia wejścia w życie przepisów wdrażających dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylającą decyzję ramową Rady 2008/977/WSiSW (Dz. Urz. UE L 119 z 04.05.2016, str. 89).

Zgodnie z art. 166 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. poz. 1000), z dniem wejścia w życie przedmiotowej ustawy Generalny Inspektor Ochrony Danych Osobowych staje się Prezesem Urzędu Ochrony Danych Osobowych. Osoba, która została powołana na stanowisko Generalnego Inspektora Ochrony Danych Osobowych, na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 oraz z 2018 r. poz. 138 i 723), pozostaje na stanowisku do czasu upływu kadencji, na którą została powołana.

Ustawa o ochronie danych osobowych przyznaje osobie, której dane dotyczą uprawnienia związane z przetwarzaniem jej danych. Do szczególnych uprawnień podmiotu danych zalicza się uprawnienie do żądania zaprzestania przetwarzania danych oraz sprzeciw wobec przetwarzania danych w celach marketingowych i przekazywania danych innym administratorom danych. Szczególny charakter tych uprawnień polega na tym, iż nie przysługują one wszystkim osobom, których dane poddawane są przetwarzaniu, a jedynie tym podmiotom, których dane przetwarzane są, gdy jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego bądź gdy przetwarzanie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (tj. w oparciu o podstawy dopuszczalności przetwarzania wskazane w art. 23 ust. 1 pkt 4 i 5 u.o.d.o.). W ten sposób ustawodawca stara się zapewnić swoistą równowagę, dopuszczając możliwość przetwarzania danych mimo braku zgody, przepisu bądź umowy w tym zakresie, a jednocześnie przyznając osobie, której dane dotyczą dodatkowe uprawnienia, pozwalające jej kwestionować przetwarzanie danych.

W celu realizacji uprawnień do żądania zaprzestania przetwarzania danych oraz sprzeciwu osoba, której dane dotyczą, powinna zwrócić się z wnioskiem do administratora danych. W przypadku, gdy administrator danych nie spełni żądań, podmiot danych może zwrócić się do GIODO z wnioskiem o wydanie administratorowi danych stosownego nakazu.

Osoba, której dane są przetwarzane, może zwrócić się do administratora danych z żądaniem zaprzestania przetwarzania danych, gdy: 1) administrator przetwarza jej dane dla realizacji zadań publicznych nie mając jednak w przepisach wyraźnej podstawy uprawniającej go do przetwarzania danych (art. 23 ust. 1 pkt 4 u.o.d.o.) bądź 2) na podstawie tzw. klauzuli usprawiedliwionego celu (art. 23 ust. 1 pkt 5 u.o.d.o.).

Żądanie zaprzestania przetwarzania danych powinno być wniesione na piśmie i zawierać uzasadnienie, wskazujące na przyczyny takiego żądania (szczególną sytuację, która uzasadnia zaprzestanie przetwarzania danych).

Ustawa nie przewiduje tego rodzaju wymogów formalnych w odniesieniu do sprzeciwu. Sprzeciw przysługuje w przypadku, gdy administrator danych zamierza przetwarzać dane w celach marketingowych (a nie uzyskał zgody na takie działania), bądź w przypadku przekazywania danych innym administratorom danych. Warto jednak podkreślić, iż przesyłanie informacji handlowych drogą elektroniczną, zgodnie z art. 10 ust. 2 ustawy o świadczeniu usług drogą elektroniczną, wymaga uzyskania uprzedniej zgody i nie może być realizowane na podstawie art. 23 ust. 1 pkt 5 u.o.d.o.

Jeżeli administrator opiera przetwarzanie danych na innej podstawie dopuszczalności przetwarzania (zgoda, przepis prawa, umowa), to wskazane powyżej uprawnienia nie przysługują. W przypadku przetwarzania danych na podstawie zgody, osoba, której dane dotyczą, może odwołać wyrażoną uprzednio zgodę, przy czym nie należy utożsamiać odwołania zgody i sprzeciwu, gdyż są to dwie odmienne konstrukcje prawne, choć ich zasadniczy skutek jest podobny - dalsze przetwarzania kwestionowanych danych jest z punktu widzenia prawnego niedopuszczalne.