RODO 32: odmowa i dalsze kroki prawne w praktyce prawnej

W dobie powszechnej cyfryzacji bezpieczeństwo danych osobowych stało się jednym z kluczowych aspektów funkcjonowania każdego podmiotu gospodarczego oraz instytucji publicznej. Artykuł 32 Ogólnego Rozporządzenia o Ochronie Danych (RODO) nakłada na administratorów danych oraz podmioty przetwarzające bezwzględny obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, aby zapewnić stopień bezpieczeństwa odpowiadający ryzyku. Co jednak w sytuacji, gdy osoba, której dane dotyczą, podejrzewa naruszenie tych standardów, a administrator odmawia udostępnienia informacji lub podjęcia stosownych działań? W niniejszym opracowaniu szczegółowo analizujemy procedurę odwoławczą, rolę organu nadzorczego oraz praktyczne kroki prawne, jakie należy podjąć w przypadku odmowy ze strony administratora.

1. Istota i znaczenie art. 32 RODO w systemie ochrony danych osobowych

Artykuł 32 RODO stanowi jeden z najważniejszych filarów nowoczesnego systemu ochrony prywatności. Przepis ten nie zawiera sztywnego katalogu zabezpieczeń, które każdy administrator musi bezwzględnie wdrożyć. Zamiast tego wprowadza elastyczne podejście oparte na ryzyku (risk-based approach). Administratorzy oraz podmioty przetwarzające są zobowiązani do samodzielnego przeprowadzenia rzetelnej analizy ryzyka i dopasowania do niej odpowiednich środków technicznych oraz organizacyjnych. Środki te muszą gwarantować stopień bezpieczeństwa odpowiadający prawdopodobieństwu i wadze zagrożeń dla praw i wolności osób fizycznych. W praktyce oznacza to, że zabezpieczenia stosowane przez mały sklep internetowy będą diametralnie różnić się od procedur wdrożonych przez instytucję finansową czy duży szpital publiczny. Kluczowym elementem tej regulacji jest zapewnienie ciągłej poufności, integralności, dostępności oraz odporności systemów i usług przetwarzania. Ponadto, administrator musi posiadać zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego. Regularne testowanie, mierzenie i ocenianie skuteczności tych środków to kolejny bezwzględny obowiązek wynikający bezpośrednio z art. 32 RODO, który ma na celu zapobieganie wyciekom i nieuprawnionemu dostępowi.

2. Kiedy dochodzi do odmowy i jakich sytuacji dotyczy spór?

Spory na tle art. 32 RODO najczęściej pojawiają się w sytuacjach, gdy osoba, której dane dotyczą, próbuje zweryfikować, w jaki sposób jej dane są chronione, bądź też żąda podjęcia konkretnych działań zabezpieczających po zaistnieniu incydentu bezpieczeństwa. Typowym scenariuszem jest sytuacja, w której dochodzi do wycieku danych (np. haseł, numerów PESEL czy adresów zamieszkania), a poszkodowany użytkownik zwraca się do administratora z wnioskiem o wyjaśnienie, jakie środki bezpieczeństwa były stosowane przed incydentem oraz jakie kroki naprawcze podjęto. Administratorzy bardzo często odmawiają udzielenia szczegółowych informacji, zasłaniając się tajemnicą przedsiębiorstwa, bezpieczeństwem własnych systemów teleinformatycznych lub obawą, że ujawnienie szczegółów technicznych ułatwi potencjalnym hakerom kolejny atak. Innym źródłem konfliktów jest sytuacja, gdy klient lub pracownik zauważa ewidentne luki w zabezpieczeniach (np. brak szyfrowania transmisji, swobodny dostęp osób nieuprawnionych do dokumentacji papierowej) i składa wniosek o natychmiastowe usunięcie tych uchybień. Odmowa administratora, motywowana zazwyczaj brakiem budżetu lub odmienną oceną ryzyka, otwiera drogę do formalnego sporu prawnego, w którym wnioskodawca musi wykazać swoje racje.

3. Obowiązek administratora a uprawnienia podmiotu danych

W relacji między administratorem a osobą, której dane dotyczą, istnieje wyraźna asymetria informacyjna. RODO stara się tę asymetrię zniwelować poprzez nałożenie na administratora szeregu obowiązków informacyjnych i proceduralnych. Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO), to na administratorze spoczywa ciężar dowodu, że przetwarza dane zgodnie z prawem, w tym również, że dopełnił obowiązków w zakresie bezpieczeństwa określonych w art. 32. Osoba fizyczna ma prawo oczekiwać, że jej dane są bezpieczne, a w przypadku wątpliwości ma prawo do uzyskania jasnych wyjaśnień. Choć samo RODO nie przyznaje wprost osobie fizycznej uprawnienia do samodzielnego audytowania systemów informatycznych administratora na żądanie, to jednak prawo dostępu do danych (art. 15 RODO) oraz prawo do wniesienia skargi dają realne instrumenty kontroli. Administrator nie może zbyć wnioskodawcy lakonicznym stwierdzeniem, że wszystkie procedury są realizowane poprawnie. Ma obowiązek wykazać, że jego ocena ryzyka była rzetelna, a wdrożone środki są w pełni adekwatne do skali przetwarzania.

4. Wniosek do administratora – pierwszy krok w procedurze

Inicjowanie jakichkolwiek kroków prawnych musi być poprzedzone formalnym wystąpieniem do administratora. Wniosek taki powinien być sporządzony na piśmie lub w formie elektronicznej i precyzyjnie określać żądania wnioskodawcy. W treści wniosku należy powołać się na konkretne uprawnienia (np. art. 15 RODO w zakresie uzyskania informacji o zabezpieczeniach lub art. 21 RODO w określonych przypadkach sprzeciwu, a także ogólne prawo do żądania zgodności przetwarzania z prawem). Wnioskodawca powinien wskazać, jakie nieprawidłowości zauważył lub jakich informacji żąda (np. potwierdzenia stosowania szyfrowania, wdrożenia dwuskładnikowego uwierzytelniania, czy przeprowadzenia audytu bezpieczeństwa). Bardzo ważne jest, aby wniosek zawierał dane umożliwiające jednoznaczną identyfikację wnioskodawcy, co zapobiegnie odmowie opartej na braku możliwości weryfikacji tożsamości. Prawidłowo sformułowany wniosek stanowi fundament pod ewentualne późniejsze postępowanie przed organem nadzorczym i ułatwia wykazanie bezczynności administratora.

5. Odmowa realizacji żądania – analiza prawna i motywacja administratora

Otrzymując wniosek, administrator ma obowiązek poddać go wnikliwej analizie. Jeśli zdecyduje się na odmowę, musi ją szczegółowo uzasadnić. Najczęstszą podstawą prawną odmowy wskazywaną przez administratorów jest art. 12 ust. 5 RODO, który pozwala na odmowę podjęcia działań, jeśli żądania osoby, której dane dotyczą, są ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na swój ustawiczny charakter. Administrator może również argumentować, że wnioskowane środki bezpieczeństwa są technicznie niemożliwe do wdrożenia lub wiązałyby się z niewspółmiernymi kosztami, które zniszczyłyby ekonomiczny sens prowadzonej działalności. W praktyce prawnej kluczowe jest zbadanie, czy odmowa nie ma charakteru arbitralnego. Jeśli administrator odmawia udzielenia informacji o wdrożonych środkach bezpieczeństwa, twierdząc, że ujawnienie tych danych zagraża jego systemom, powinien zaproponować alternatywne rozwiązanie – np. przedstawienie certyfikatu zgodności (np. ISO/IEC 27001) lub niezależnego raportu z audytu, który potwierdzi wysoki standard ochrony bez ujawniania wrażliwych szczegółów technicznych.

6. Dalsze kroki prawne: Skarga do Prezesa Urzędu Ochrony Danych Osobowych (PUODO)

W przypadku otrzymania decyzji odmownej lub w sytuacji, gdy administrator całkowicie ignoruje nasz wniosek, kolejnym naturalnym krokiem prawnym jest złożenie skargi do właściwego organu nadzorczego. W Polsce organem tym jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Skarga do PUODO jest bezpłatna i inicjuje formalne postępowanie administracyjne. Organ nadzorczy posiada bardzo szerokie uprawnienia śledcze i naprawcze. Może nakazać administratorowi dostosowanie operacji przetwarzania do przepisów RODO, w tym wdrożenie konkretnych środków bezpieczeństwa na podstawie art. 32, a także nałożyć administracyjne kary pieniężne za niedopełnienie tych obowiązków. Postępowanie to ma na celu przywrócenie stanu zgodnego z prawem i ochronę praw jednostki.

Wymogi formalne skargi do organu nadzorczego

Aby skarga do PUODO mogła zostać skutecznie rozpatrzona, musi spełniać wymogi formalne określone w Kodeksie postępowania administracyjnego oraz ustawie o ochronie danych osobowych. Skarga powinna zawierać:

Imię, nazwisko oraz adres zamieszkania skarżącego (lub nazwę i adres siedziby, jeśli skargę składa podmiot reprezentujący);
Wskazanie podmiotu, na który składana jest skarga (pełna nazwa administratora, adres siedziby, numer NIP lub KRS);
Dokładny opis naruszenia, w tym wskazanie, że administrator odmawia realizacji obowiązków wynikających z art. 32 RODO;
Kopię korespondencji prowadzonej z administratorem, w szczególności wysłany wniosek oraz otrzymaną odmowę;
Jasno sformułowane żądanie (np. nakazanie administratorowi wdrożenia odpowiednich środków technicznych lub udostępnienia informacji o zabezpieczeniach);
Podpis skarżącego (własnoręczny w przypadku formy papierowej lub kwalifikowany podpis elektroniczny bądź profil zaufany przy wysyłce przez platformę ePUAP).

Brak któregokolwiek z tych elementów skutkuje wezwaniem do usunięcia braków formalnych w terminie 7 dni, co niepotrzebnie wydłuża całe postępowanie przed organem.

7. Terminy w postępowaniu odwoławczym i przed organem

Czas odgrywa kluczową rolę w sprawach związanych z ochroną danych osobowych. Administrator ma obowiązek udzielić odpowiedzi na wniosek bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. W sprawach skomplikowanych termin ten może zostać przedłużony o kolejne dwa miesiące, o czym administrator musi poinformować wnioskodawcę w ciągu ersten miesiąca, podając przyczyny opóźnienia. Jeśli administrator odmawia podjęcia działań, musi o tym poinformować niezwłocznie – najpóźniej w terminie miesiąca – podając powody odmowy oraz informując o możliwości wniesienia skargi do PUODO i skorzystania ze środków ochrony prawnej przed sądem. Z kolei samo postępowanie przed PUODO, choć ustawowo powinno trwać nie dłużej niż miesiąc (a w sprawach szczególnie skomplikowanych dwa miesiące), w praktyce z uwagi na ogromną liczbę spraw może trwać od kilku miesięcy do nawet ponad roku. Na decyzję PUODO przysługuje skarga do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia decyzji.

8. Postępowanie przed Wojewódzkim Sądem Administracyjnym (WSA)

Jeśli decyzja Prezesa UODO jest dla nas niesatysfakcjonująca – na przykład organ uznał argumenty administratora o tajemnicy przedsiębiorstwa i odmówił nakazania mu wdrożenia wnioskowanych środków – przysługuje nam prawo do poddania tej decyzji kontroli sądowej. Skargę wnosi się za pośrednictwem Prezesa UODO do Wojewódzkiego Sądu Administracyjnego. Sąd nie bada sprawy od nowa pod kątem ustaleń faktycznych, lecz ocenia, czy organ nadzorczy nie naruszył przepisów prawa materialnego (w tym art. 32 RODO) oraz procedury administracyjnej. Wyroki WSA mają kluczowe znaczenie dla kształtowania linii orzeczniczej. Sąd może uchylić decyzję PUODO i nakazać ponowne rozpatrzenie sprawy z uwzględnieniem wskazń sądu, co często zmusza organ do bardziej rygorystycznego podejścia do opieszałych administratorów i dokładniejszej weryfikacji ich systemów zabezpieczeń.

9. Praktyczny przykład (Case Study)

Przyjrzyjmy się praktycznemu przykładowi, który doskonale ilustruje opisywany mechanizm. Pan Tomasz był klientem platformy medycznej Zdrowie Online. W mediach pojawiła się informacja, że baza danych tej platformy została skompromitowana, a niezaszyfrowane dane pacjentów trafiły do sieci. Pan Tomasz, obawiając się o swoje wrażliwe dane medyczne, skierował do administratora wniosek z pytaniem, czy jego dane również wyciekły oraz jakie konkretnie środki techniczne (np. szyfrowanie baz danych, systemy wykrywania intruzów) były stosowane w celu realizacji art. 32 RODO. Administrator odpowiedział lakonicznie, potwierdzając wyciek, ale odmówił podania jakichkolwiek szczegółów dotyczących zabezpieczeń, twierdząc, że są to informacje poufne stanowiące tajemnicę firmy, a ich ujawnienie mogłoby ułatwić kolejne ataki. Pan Tomasz nie zaakceptował tej odmowy i złożył skargę do PUODO. W toku postępowania Prezes UODO przeprowadził kontrolę i ustalił, że platforma nie szyfrowała danych wrażliwych w spoczynku, co stanowiło rażące naruszenie art. 32 RODO. Organ wydał decyzję nakazującą administratorowi wdrożenie pełnego szyfrowania danych w terminie 30 dni oraz nałożył na spółkę karę finansową. Przykład ten pokazuje, że determinacja wnioskodawcy i konsekwentne korzystanie z drogi odwoławczej mogą realnie zmusić podmiot do poprawy standardów bezpieczeństwa.

10. Najczęstsze błędy popełniane przez wnioskodawców

W praktyce prawnej można zauważyć kilka powtarzających się błędów, które znacznie utrudniają lub werbalnie uniemożliwiają skuteczne dochodzenie praw na podstawie art. 32 RODO:

Zbyt ogólne formułowanie żądań – wnioskodawcy często piszą jedynie żądam zabezpieczenia moich danych, nie wskazując, na czym polega uchybienie ani jakich informacji oczekują od administratora;
Ignorowanie terminów – zwlekanie z wniesieniem skargi do PUODO lub skargi do WSA po otrzymaniu decyzji odmownej;
Brak dowodów – składanie skargi do organu bez wcześniejszego podjęcia próby kontaktu z administratorem i bez załączenia dowodu wysłania wniosku;
Mylenie pojęć – żądanie od administratora udostępnienia kodów źródłowych systemów lub pełnej dokumentacji technicznej, co faktycznie narusza tajemnicę przedsiębiorstwa i wykracza poza cel ochrony danych osobowych.

11. Podsumowanie i rekomendacje praktyczne

Artykuł 32 RODO to potężne narzędzie w rękach osób, których dane dotyczą, pozwalające na realne dyscyplinowanie administratorów. Choć droga od wniosku, przez odmowę, aż po skargę do PUODO i ewentualne postępowanie przed sądem administracyjnym bywa długa i wymaga cierpliwości, jest to jedyna skuteczna ścieżka prawna do wymuszenia należytego poziomu bezpieczeństwa. Kluczem do sukcesu jest precyzyjnie sformułowany wniosek, konsekwencja w działaniu oraz rygorystyczne przestrzeganie terminów procesowych. Warto pamiętać, że dbałość o bezpieczeństwo naszych danych to nie tylko obowiązek firm, ale przede wszystkim nasze prawo, którego powinniśmy aktywnie dochodzić w codziennej praktyce.