Nowy organ nadzorczy – Prezes UODO zastąpi GIODO

Zmiana GIODO na Prezesa UODO – z czego to wynika?

Nowo przyjęty projekt ustawy o ochronie danych osobowych, wprowadza wiele kluczowych zmian do aktualnego systemu. Jedną z nich jest reorganizacja zasad działania organu odpowiedzialnego za kontrolę przestrzegania przepisów o ochronie danych osobowych. Zgodnie z projektem ustawy, Generalny Inspektor Ochrony Danych Osobowych (GIODO) zostanie zastąpiony nowym organem. Wraz z datą rozpoczęcia obowiązywania RODO, będziemy mieć do czynienia z nowym organem państwowym - nie jest to wyłącznie zmianą nazwy organu. Zmiana nazwy wynika nie tylko ze względu na potrzebę odróżnienia nowego organu (Prezesa UODO) od poprzedniego (GIODO), ale przede wszystkim z konieczności uporządkowania kwestii związanej z nowym nazewnictwem.

RODO wprowadziło nową funkcję Inspektorów Ochrony Danych, którzy zastąpią dotychczasowych Administratorów Bezpieczeństwa Informacji. Pozostawienie nazewnictwa organu nadzorczego w postaci Generalnego Inspektora Ochrony Danych Osobowych (GIODO) mogłoby sugerować, że państwowy organ sprawuje zwierzchnictwo nad powołanymi przez Administratorów Danych Osobowych ich Inspektorami (IOD), co nie jest prawdą.

Z tego samego powodu Biuro Generalnego Inspektora Ochrony Danych Osobowych zostanie przemianowane na Urząd Ochrony Danych Osobowych. Jego pracownicy nie będą już nazywani Inspektorami (tu znów mógłby pojawić się problem z rozróżnieniem funkcji państwowych i prywatnych), lecz po prostu pracownikami Urzędu, który podczas pełniania swoich obowiązków związanych z kontrolą organizacji, będą “kontrolującymi”.

Prezes Urzędu Ochrony Danych Osobowych

Powoływanie Prezesa UODO

RODO określa procedurę w jaki sposób ma być powoływany organ nadzorczy. W oparciu o przepisy rozporządzenia, polski ustawodawca stworzył krajowe rozwiązania. Nowa procedura powołania Prezesa UODO jest zbliżona do poprzedniej - powołania GIODO. Prezes UODO nadal będzie powoływany i odwoływany przez Sejm za zgodą Senatu (jak w przypadku GIODO), ale - co nowe - dodatkowo na wniosek Prezesa Rady Ministrów.

Osoba powołana na funkcję Prezesa UODO, nie będzie różnić się od GIODO. Nie zostały wprowadzone specjalne zmiany w zakresie wymogów, które musi spełnić kandydat na stanowisko Prezesa UODO. Postawione mu zostaną przedstawione poniżej warunki:

• musi być obywatelem polskim,
• posiadać tytuł naukowy doktora,
• posiadać wiedzę z zakresu ochrony danych osobowych,
• minimum pięcioletnie doświadczenie związane bezpośrednio z ochroną danych osobowych,
• korzystać z pełni praw publicznych,
• nie może być skazana prawomocnym wyrokiem za umyślne przestępstwo lub umyślne przestępstwo skarbowe.

Usunięte jednak zostały niektóre dotychczasowe wymogi stawiane przed kandydatami na stanowisko GIODO. Od teraz osoby ubiegające się o urząd Prezesa UODO nie muszą:

• stale zamieszkiwać na terytorium Rzeczypospolitej Polskiej,
• wyróżniać się wysokim autorytetem moralnym,
• być prawnikami.

Nie została zmieniona także długość kadencji Prezesa UODO (4 lata) oraz kwestia dotycząca długości piastowania urzędu - podtrzymano zapis, że ta sama osoba będzie mogła pełnić funkcję Prezesa UODO wyłącznie dwie kadencje.

Prezes UODO i jego urząd

W przyjętym przez Radę Ministrów projekcie ustawy o ochronie danych osobowych, określono ilość i tryb powołania zastępców Prezesa UODO. Będzie on mógł swoje obowiązki wykonywać z pomocą trzech zastępców. Wszyscy powoływani będą przez Prezesa Rady Ministrów, jednak w oparciu o wnioski z różnych ministerstw. Jeden z nich na wniosek ministra spraw wewnętrznych, a dwóch pozostały na wniosek ministra cyfryzacji.

Posiadanie przez Prezesa UODO aż trzech zastępców jest wynikiem zwiększenia jego kompetencji i nałożonych na niego obowiązków (względem GIODO). Zwiększona została również niezależność nowego organu. Można dostrzec to między innymi w oddelegowaniu nowej kompetencji jaką jest nadawanie Statutu Urzędu Ochrony Danych Osobowych. Dotychczas, w formie rozporządzenia, statut Biura GIODO nadawał Prezydent RP, wyłącznie w oparciu o zasięgniętą opinię GIODO. Ta zmiana, pozwoli Prezesowi UODO samodzielnie decydować o organizacji urzędu, obszarze działań jego zastępców, czy trybie prac komórek organizacyjnych Urzędu Ochrony Danych Osobowych.  

W skład Urzędu Ochrony Danych Osobowych, poza Prezesem i jego zastępcami wchodzić będzie także Rada do spraw Ochrony Danych Osobowych. Zgodnie z projektem nowej ustawy, Rada ma stanowić organ opiniodawczo-doradczym. Powoływana będzie na dwuletnią kadencję, a jej skład tworzyć będą nie tylko przedstawiciele administracji, ale również osoby reprezentujące różne interesy. 

Główną rolą Rady jest wsparcie Prezesa UODO, w części jego nowych obowiązkach. To przede wszystkim opiniowanie projektów dokumentów organów i instytucji Unii Europejskiej dotyczących spraw ochrony danych osobowych, czy przekazanych przez Prezesa UODO projektów aktów prawnych i innych dokumentów dotyczących spraw ochrony danych osobowych. To także inicjowanie działań związanych z ochrony danych osobowych oraz przedstawianie Prezesowi propozycji zmian prawa w tym obszarze.

Obowiązki Prezesa UODO

Zgodnie z postanowieniem RODO, organ nadzorczy musi zostać wyposażony
w prawa i kompetencje, które pozwolą mu wykonywać swoją funkcję i odpowiednio pełnić nadaną rolę w całym systemie prawnym. Na Prezesa UODO zostały nałożone nowe obowiązki, które dotychczas nie należały do zadań wykonywanych przez Generalnego Inspektora Ochrony Danych Osobowych.

Nowym zadaniem nałożonym na Prezesa UODO jest stworzenie mechanizmu certyfikacji organizacji. Certyfikat, zgodnie z RODO, przyznawany ma być po przejściu całego procesu wdrożenia przepisów rozporządzenia i ma stanowić potwierdzenie jego przestrzegania przez administratorów lub podmioty przetwarzające dane osobowe. Opracowanie kryteriów certyfikacji oraz zasad ewentualnego cofnięcia certyfikacji jest jednym z obowiązków Prezesa UODO.

Do nowych uprawnień Prezesa UODO będzie należało również nakładanie kar finansowych za nieprzestrzeganie przepisów o ochronie danych osobowych. Prezes UODO zyskał szereg kompetencji kontrolnych, dzięki którym prowadzone przez niego postępowania, będą mogły skutecznie zabezpieczyć poprawne przetwarzanie danych osobowych w organizacjach. Postępowania kontrolne prowadzone będą w oparciu o plan kontroli, na podstawie przeprowadzonych przez Prezesa UODO analiz, oraz na podstawie uzyskanych przez Prezesa UODO informacji (czyli w konsekwencji otrzymania donosu na daną organizację). Kontrole będą przeprowadzane przez upoważnionych do tego pracowników Urzędu Ochrony Danych Osobowych, którzy swoją pracę wykonywać będą w imieniu Prezesa Urzędu.

Prezes UODO zobowiązany jest także do prowadzenia systemu, który umożliwi zgłaszanie administratorom naruszeń danych osobowych w wyznaczonym przez RODO czasie. Zgodnie z rozporządzeniem, Administrator Danych Osobowych w sytuacji stwierdzenia naruszenia gromadzonych lub przetwarzanych przez siebie danych osobowych, ma obowiązek w ciągu 72 godzin, zgłosić incydent organowi nadzorczemu - czyli Prezesowi UODO. Aby Administratorzy Danych Osobowych mogli spełnić nałożony na nich obowiązek, konieczne jest stworzenie systemu, który pozwoli powiadomić organ nadzorczy drogą elektroniczną.

To, co równie istotne z punktu widzenia Administratorów Danych Osobowych, to rola doradcza i opiniotwórcza Prezesa Urzędu Ochrony Danych Osobowych. Ten, wśród swoich obowiązków ma za zadanie opracowywać i publikować rekomendacje dotyczące środków technicznych i organizacyjnych, pozwalających zapewnić bezpieczeństwo przetwarzanych a organizacjach danych osobowych.

Wydawane przez Prezesa UODO opinię na ten temat, mogą pomóc ADO i podmiotom przetwarzającym (procesorom) zapewnić odpowiednie przetwarzanie danych osobowych, zgodne z przepisami RODO.

Sprawdź również:

• Bezpieczeństwo informacji w firmie
• Bezpieczeństwo w cyberprzestrzeni. RODO zwiększy ochronę danych
• Zgoda na przetwarzanie danych osobowych dziecka