32 36 RODO a prawa strony albo administratora

Rozporządzenie o Ochronie Danych Osobowych (RODO) zrewolucjonizowało podejście do ochrony prywatności w Unii Europejskiej, wprowadzając zasadę rozliczalności oraz podejście oparte na ryzyku. Wśród wielu skomplikowanych mechanizmów prawnych, szczególne miejsce zajmują regulacje dotyczące bezpieczeństwa przetwarzania (art. 32 RODO) oraz uprzednich konsultacji z organem nadzorczym (art. 36 RODO). Przepisy te nie funkcjonują jednak w próżni prawnej – ich realizacja bardzo często krzyżuje się z prawami stron postępowań administracyjnych oraz uprawnieniami samych administratorów danych osobowych (ADO). Zrozumienie relacji zachodzących między tymi dwoma obszarami jest kluczowe dla uniknięcia dotkliwych kar finansowych oraz zapewnienia pełnej zgodności z prawem.

Bezpieczeństwo przetwarzania danych (Art. 32 RODO) – obowiązek czy tarcza administratora?

Artykuł 32 RODO nakłada na administratora oraz podmiot przetwarzający obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku naruszenia praw lub wolności osób fizycznych. Przepis ten nie wskazuje konkretnych technologii ani procedur, jakie należy zastosować. Zamiast tego wprowadza elastyczne kryteria, takie jak stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania.

Z perspektywy administratora, art. 32 RODO stanowi przede wszystkim źródło surowych obowiązków. Musi on nieustannie monitorować zagrożenia, przeprowadzać testy i oceniać skuteczność zabezpieczeń. Jednak w kontekście sporów prawnych lub postępowań przed organem nadzorczym, przepis ten może stać się również tarczą obronną. Wykazanie, że administrator dochował należytej staranności i wdrożył adekwatne środki bezpieczeństwa, pozwala na uwolnienie się od odpowiedzialności lub znaczne obniżenie ewentualnej kary administracyjnej.

Konflikt interesów: Dostęp do akt a bezpieczeństwo systemów

W praktyce postępowań administracyjnych prowadzonych przed Prezesem Urzędu Ochrony Danych Osobowych (PUODO) często dochodzi do konfliktu między prawem strony do czynnego udziału w postępowaniu (w tym wglądu do akt sprawy) a obowiązkiem ochrony tajemnicy przedsiębiorstwa oraz bezpieczeństwa systemów teleinformatycznych administratora. Strona skarżąca może żądać dostępu do pełnej dokumentacji technicznej wdrożonej na podstawie art. 32 RODO, aby dowieść, że administrator nie dopełnił swoich obowiązków.

W takiej sytuacji administrator ma prawo, a wręcz obowiązek, podjąć działania zmierzające do ograniczenia dostępu do tych informacji, które mogłyby ułatwić potencjalny cyberatak na jego infrastrukturę. Ujawnienie szczegółowych schematów sieci, haseł, algorytmów szyfrujących czy wyników testów penetracyjnych stanowiłoby bezpośrednie zagrożenie dla bezpieczeństwa danych innych osób. Organ nadzorczy musi w takich przypadkach wyważyć interesy stron, często decydując się na utajnienie części materiału dowodowego lub udostępnienie go w formie zanonimizowanej.

Uprzednie konsultacje (Art. 36 RODO) – kiedy powstaje obowiązek?

Artykuł 36 RODO nakłada na administratora obowiązek skonsultowania się z organem nadzorczym przed rozpoczęciem przetwarzania, jeżeli ocena skutków dla ochrony danych (DPIA) przeprowadzona na podstawie art. 35 RODO wskazuje, że przetwarzanie powodowałoby wysokie ryzyko, którego administrator nie jest w stanie zminimalizować za pomocą odpowiednich środków technicznych lub organizacyjnych.

Procedura ta ma charakter prewencyjny. Jej celem jest zapobieżenie sytuacjom, w których dochodzi do uruchomienia procesów przetwarzania zagrażających prawom i wolnościom obywateli. Obowiązek ten dotyczy w szczególności wdrażania nowych, nie w pełni przetestowanych technologii, masowego przetwarzania danych wrażliwych (np. medycznych, biometrycznych) czy profilowania na dużą skalę.

Rola wniosku i wymogi formalne

Aby zainicjować procedurę konsultacji, administrator musi złożyć formalny wniosek do organu nadzorczego (w Polsce do PUODO). Wniosek ten nie jest zwykłym pismem przewodnim – musi zawierać szczegółowe informacje określone w art. 36 ust. 3 RODO, w tym:

określenie odpowiednich obowiązków administratora, współadministratorów oraz podmiotów przetwarzających uczestniczących w przetwarzaniu;
cele i sposoby planowanego przetwarzania;
środki i zabezpieczenia mające chronić prawa i wolności osób, których dane dotyczą;
dane kontaktowe inspektora ochrony danych (IOD), o ile został wyznaczony;
ocenę skutków dla ochrony danych (DPIA) przewidzianą w art. 35 RODO.

Brak któregokolwiek z tych elementów skutkuje wezwaniem do uzupełnienia braków formalnych, co znacząco wpływa na czas trwania całej procedury.

Terminy w procedurze konsultacji z organem nadzorczym

Kwestia terminów w kontekście art. 36 RODO ma fundamentalne znaczenie dla planowania procesów biznesowych lub publicznych. Zgodnie z przepisami, organ nadzorczy ma 8 tygodni od dnia otrzymania wniosku o konsultacje na przedstawienie administratorowi pisemnego zalecenia. W terminie tym organ ocenia, czy planowane przetwarzanie jest zgodne z RODO i czy proponowane zabezpieczenia są wystarczające.

Termin ten może ulec przedłużeniu o kolejne 6 tygodni w szczególnie skomplikowanych przypadkach. O każdym przedłużeniu organ musi poinformować administratora w ciągu miesiąca od otrzymania wniosku, podając przyczyny opóźnienia. Co istotne, bieg tych terminów może zostać zawieszony, jeśli organ wezwie administratora do dostarczenia dodatkowych informacji niezbędnych do dokonania oceny. W praktyce procedura ta może więc potrwać nawet kilka miesięcy, podczas których administrator nie może rozpocząć planowanego przetwarzania danych.

Prawa strony a postępowanie konsultacyjne

Wokół art. 36 RODO narasta wiele wątpliwości dotyczących statusu osób, których dane mają być przetwarzane. Czy potencjalna strona (np. pacjent, klient, obywatel) ma prawo uczestniczyć w procedurze uprzednich konsultacji? Czy przysługuje jej status strony w rozumieniu przepisów Kodeksu postępowania administracyjnego?

Dominujący pogląd doktryny oraz praktyka organów nadzorczych wskazują, że postępowanie w sprawie uprzednich konsultacji ma charakter dwustronny i toczy się wyłącznie pomiędzy administratorem a organem nadzorczym. Osoby fizyczne, których dane dotyczą, nie są stronami tego konkretnego postępowania. Ich prawa są chronione w sposób pośredni – poprzez merytoryczną ocenę dokonywaną przez wyspecjalizowany organ państwowy.

Nie oznacza to jednak pozbawienia tych osób jakiejkolwiek ochrony. Jeżeli po zakończeniu konsultacji i rozpoczęciu przetwarzania dojdzie do naruszenia ich praw, przysługuje im prawo do wniesienia skargi do PUODO na podstawie art. 77 RODO. Wówczas, w klasycznym postępowaniu skargowym, osoba ta staje się pełnoprawną stroną i uzyskuje dostęp do akt sprawy, w tym do zaleceń wydanych wcześniej przez organ w trybie art. 36 RODO.

Procedura krok po kroku dla administratora

Aby prawidłowo wywiązać się z obowiązków nałożonych przez art. 32 i 36 RODO, administrator powinien postępować zgodnie z poniższą procedurą:

Identyfikacja planowanego procesu: Określenie celów, zakresu i technologii nowego procesu przetwarzania danych.
Przeprowadzenie oceny skutków (DPIA): Analiza ryzyka dla praw i wolności osób fizycznych. Jeśli ryzyko jest niskie lub średnie, wdrożenie odpowiednich środków zabezpieczających z art. 32 RODO i zamknięcie procesu.
Stwierdzenie wysokiego ryzyka: Jeśli DPIA wykaże wysokie ryzyko, którego nie da się zminimalizować (np. brak sprawdzonych metod ochrony przed nowym typem cyberzagrożenia), administrator musi wstrzymać wdrożenie.
Przygotowanie wniosku o konsultacje: Zgromadzenie pełnej dokumentacji, w tym raportu DPIA, opisu architektury systemu oraz opinii IOD.
Złożenie wniosku do PUODO: Przesłanie kompletnych dokumentów i oczekiwanie na decyzję organu.
Współpraca z organem: Udzielanie odpowiedzi na ewentualne pytania lub wezwania organu w wyznaczonym terminie.
Wdrożenie zaleceń: Po otrzymaniu pisemnych zaleceń od PUODO, dostosowanie systemów bezpieczeństwa (art. 32 RODO) do wytycznych organu i dopiero wtedy rozpoczęcie przetwarzania danych.

Najczęstsze błędy popełniane przez administratorów

Naruszenia związane z art. 32 i 36 RODO należą do najsurowiej karanych przez organy nadzorcze w całej Europie. Do najczęstszych błędów należą:

Ignorowanie obowiązku DPIA: Administratorzy często pomijają ocenę skutków, przez co nawet nie wiedzą, że ich proces generuje wysokie ryzyko wymagające konsultacji.
Rozpoczęcie przetwarzania przed zakończeniem konsultacji: Uruchomienie systemu w trakcie trwania 8-tygodniowego terminu dla organu stanowi rażące naruszenie prawa.
Niewystarczające środki bezpieczeństwa: Traktowanie art. 32 RODO czysto formalnie (np. posiadanie polityk bezpieczeństwa na papierze, które nie są stosowane w praktyce).
Brak aktualizacji zabezpieczeń: Zapominanie, że ocena ryzyka i dobór środków bezpieczeństwa to proces ciągły, a nie jednorazowe zadanie.

Praktyczny przykład zastosowania przepisów

Wyobraźmy sobie nowoczesną placówkę medyczną – Szpital Specjalistyczny "Zdrowie", który planuje wdrożyć innowacyjny system diagnostyczny oparty na sztucznej inteligencji (AI). System ten ma analizować wyniki badań obrazowych pacjentów (dane wrażliwe) oraz automatycznie sugerować diagnozy, ucząc się na podstawie wprowadzanych danych.

Inspektor Ochrony Danych w szpitalu przeprowadził ocenę skutków dla ochrony danych (DPIA). Wykazała ona, że algorytm AI działa w chmurze obliczeniowej dostawcy zewnętrznego, a technologia ta niesie za sobą wysokie ryzyko nieautoryzowanego dostępu do danych medycznych oraz ryzyko błędnych diagnoz wpływających na życie pacjentów. Ze względu na nowatorski charakter technologii, szpital nie jest w stanie samodzielnie zagwarantować pełnego bezpieczeństwa transmisji i przetwarzania danych.

Dyrektor szpitala, działając na podstawie art. 36 RODO, wstrzymał wdrożenie systemu i skierował wniosek o uprzednie konsultacje do Prezesa Urzędu Ochrony Danych Osobowych. Do wniosku dołączono pełną analizę DPIA oraz proponowane środki techniczne z art. 32 RODO (np. pseudonimizację danych przed wysyłką do chmury). PUODO w terminie 8 tygodni przeanalizował wniosek i wydał zalecenia, nakazując m.in. zastosowanie dodatkowego szyfrowania end-to-end oraz regularne audyty algorytmu przez niezależny podmiot. Szpital wdrożył te zalecenia, dostosowując swoje procedury bezpieczeństwa, i dopiero wtedy bezpiecznie uruchomił system AI, działając w pełni legalnie i chroniąc prawa swoich pacjentów.

Podsumowanie

Artykuły 32 i 36 RODO tworzą spójny system ochrony danych osobowych, oparty na odpowiedzialności administratora i prewencyjnej roli organu nadzorczego. Choć procedury te mogą wydawać się skomplikowane i czasochłonne, ich prawidłowe stosowanie leży w interesie samych administratorów. Zapewnia ono bowiem nie tylko ochronę przed karami finansowymi, ale przede wszystkim buduje zaufanie klientów, pacjentów czy obywateli, gwarantując, że ich najcenniejsze informacje are przetwarzane w sposób bezpieczny i zgodny z najwyższymi standardami prawnymi.