Prawo do ochrony danych osobowych jest jednym z podstawowych praw człowieka, a jego realizacja znajduje oparcie zarówno w przepisach Konstytucji RP, jak i w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r., czyli w ogólnym rozporządzeniu o ochronie danych osobowych (RODO). Centralnym organem nadzorczym w Polsce, powołanym do egzekwowania przestrzegania tych przepisów, jest Prezes Urzędu Ochrony Danych Osobowych (UODO). Do jego zadań należy nie tylko kontrola zgodności przetwarzania danych z prawem, lecz także rozpatrywanie skarg osób, których dane dotyczą. Poniższy tekst omawia, kto jest uprawniony do wniesienia skargi do Prezesa UODO, kiedy można to zrobić i w jaki sposób, a także jakie skutki może przynieść wszczęcie takiego postępowania.
1. Skarga jako podstawowe narzędzie ochrony prawnej
Zgodnie z art. 77 RODO każda osoba, której dane osobowe są przetwarzane, ma prawo wnieść skargę do organu nadzorczego, jeżeli uzna, że przetwarzanie jej danych narusza przepisy rozporządzenia. W Polsce tym organem jest Prezes UODO. Skarga jest środkiem prawnym o charakterze administracyjnym. Oznacza to, że po jej złożeniu wszczynane jest postępowanie administracyjne, zakończone decyzją Prezesa UODO. Jeżeli organ uzna, że doszło do naruszenia przepisów, może w drodze decyzji nakazać przywrócenie stanu zgodnego z prawem, np. usunięcie danych, sprostowanie ich lub ograniczenie przetwarzania.
2. Kto może wnieść skargę
Uprawnionym do wniesienia skargi jest każda osoba fizyczna, której dane dotyczą. Nie ma znaczenia obywatelstwo ani miejsce zamieszkania – liczy się to, że naruszenie ma miejsce na terytorium Polski lub że administrator działa na obszarze Rzeczypospolitej. W imieniu osoby, której dane dotyczą, skargę może również złożyć pełnomocnik. Może nim być inna osoba fizyczna (np. prawnik lub członek rodziny), ale także organizacja lub zrzeszenie działające w interesie publicznym w dziedzinie ochrony danych osobowych, pod warunkiem, że nie ma charakteru zarobkowego i działa na podstawie statutu. W każdym przypadku konieczne jest posiadanie pisemnego pełnomocnictwa, które należy dołączyć do skargi.
3. Kiedy można złożyć skargę – zasada pierwszeństwa kontaktu z administratorem
Zanim osoba fizyczna zdecyduje się na wniesienie skargi do Prezesa UODO, powinna najpierw skorzystać ze swoich praw wobec administratora danych. RODO przyznaje osobom, których dane dotyczą, szereg uprawnień, m.in.:
-
prawo dostępu do danych,
-
prawo do sprostowania, usunięcia lub ograniczenia przetwarzania,
-
prawo do przenoszenia danych,
-
prawo sprzeciwu,
-
prawo do niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu.
Administrator ma obowiązek odpowiedzieć na żądanie osoby w terminie miesiąca od jego otrzymania. W uzasadnionych przypadkach termin ten może zostać przedłużony maksymalnie o kolejne dwa miesiące, o czym administrator musi poinformować osobę, podając przyczyny opóźnienia. Dopiero w sytuacji, gdy administrator nie udzieli odpowiedzi, odmówi spełnienia żądania lub udzielona odpowiedź będzie niezadowalająca, można skierować skargę do Prezesa UODO. Taka kolejność wynika z zasady subsydiarności postępowania przed organem nadzorczym – urząd powinien interweniować dopiero wtedy, gdy zawiodły mechanizmy wewnętrzne po stronie administratora.
4. Jak złożyć skargę – forma i elementy pisma
Skargę można wnieść w formie pisemnej lub elektronicznej, a także ustnie do protokołu w siedzibie Urzędu Ochrony Danych Osobowych w Warszawie (ul. Stawki 2). W ostatnim przypadku należy wcześniej umówić termin pod numerem telefonu 22 531 07 51.
Każda skarga powinna zawierać:
-
imię, nazwisko i adres wnoszącego,
-
dane administratora lub podmiotu przetwarzającego (nazwa, adres),
-
opis stanu faktycznego, czyli na czym polega naruszenie,
-
określenie żądania (np. nakazanie usunięcia danych, sprostowania ich, udzielenia informacji),
-
własnoręczny podpis lub kwalifikowany podpis elektroniczny.
Do skargi warto dołączyć dowody potwierdzające naruszenie – np. korespondencję z administratorem, kopie umów, potwierdzenia elektroniczne. Ułatwi to organowi ocenę sprawy i przyspieszy jej rozpatrzenie.
W przypadku gdy skarga dotyczy wyłącznie faktu udostępnienia danych osobowych podmiotowi nieuprawnionemu, nie ma obowiązku formułowania szczegółowego żądania – wystarczy opis naruszenia. Skargi anonimowe, tj. niewskazujące imienia, nazwiska i adresu wnoszącego, pozostają bez rozpoznania, ponieważ uniemożliwiają kontakt z osobą składającą pismo.
5. Postępowanie przed Prezesem UODO
Po złożeniu skargi Prezes UODO analizuje jej dopuszczalność. Jeżeli nie spełnia ona wymogów formalnych, urząd wzywa wnoszącego do uzupełnienia braków w terminie 7 dni. Po ich usunięciu wszczynane jest postępowanie administracyjne.
W trakcie postępowania organ bada, czy rzeczywiście doszło do naruszenia przepisów RODO lub ustawy z 10 maja 2018 r. o ochronie danych osobowych. Strony postępowania – skarżący i administrator – mają prawo do wglądu w akta sprawy, składania wyjaśnień i dowodów.
Zwieńczeniem postępowania jest decyzja administracyjna, w której Prezes UODO może:
-
nakazać przywrócenie stanu zgodnego z prawem,
-
nakazać administratorowi spełnienie określonych obowiązków (np. informacyjnych),
-
udzielić upomnienia,
-
odmówić uwzględnienia skargi, jeżeli nie stwierdzi naruszenia.
Decyzja Prezesa UODO może być zaskarżona do Wojewódzkiego Sądu Administracyjnego w Warszawie, a następnie do Naczelnego Sądu Administracyjnego.
6. Skarga do UODO a odpowiedzialność finansowa administratora
W ramach skargi do Prezesa UODO nie można domagać się nałożenia kary pieniężnej na administratora. Jest to wyłączna kompetencja Prezesa Urzędu i może być zastosowana jedynie z jego inicjatywy, gdy naruszenie ma charakter istotny. Podobnie osoba składająca skargę nie uzyska w tym postępowaniu odszkodowania. Jeśli przetwarzanie danych osobowych spowodowało szkodę majątkową lub niemajątkową, dochodzenie roszczeń odbywa się na drodze cywilnej, poprzez wniesienie pozwu do sądu powszechnego przeciwko administratorowi lub podmiotowi przetwarzającemu (art. 82 RODO). Warto więc pamiętać, że skarga do UODO ma przede wszystkim charakter naprawczy i prewencyjny, a nie kompensacyjny.
7. Czas rozpatrzenia i praktyczne wskazówki
Z uwagi na liczbę wpływających spraw postępowania przed UODO mogą trwać od kilku miesięcy do ponad roku. Dlatego warto zadbać o to, aby skarga była kompletna i czytelna.
Praktyka pokazuje, że najczęściej składane skargi dotyczą:
-
nieuprawnionego przetwarzania danych przez pracodawców, szkoły lub wspólnoty mieszkaniowe,
-
publikacji danych w Internecie,
-
utrudniania realizacji praw wynikających z RODO,
-
niewłaściwego zabezpieczenia danych (np. ujawnienia adresów e-mail w korespondencji grupowej).
W każdej z tych sytuacji interwencja Prezesa UODO może skutkować nie tylko przywróceniem zgodności z prawem, ale i poprawą praktyk organizacyjnych administratora.
8. Podsumowanie
Prawo do złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych stanowi istotny element systemu gwarancji ochrony danych osobowych. To narzędzie dostępne dla każdej osoby, której dane są przetwarzane niezgodnie z prawem. Warto jednak pamiętać, że efektywność tego środka zależy od wcześniejszego, świadomego korzystania z praw wobec administratora – często bowiem szybciej i sprawniej można rozwiązać spór bezpośrednio u źródła. Jeżeli jednak administrator ignoruje żądania lub rażąco narusza przepisy, skarga do Prezesa UODO pozostaje skutecznym sposobem egzekwowania prawa do prywatności i bezpieczeństwa informacji.
autor: Justyna Jabłonka
Kancelaria Wyrzykowscy
Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej, podatkowej ani jakiejkolwiek innej formy doradztwa. Wszelkie przedstawione w nim treści wyrażają osobiste poglądy autora oraz jego wiedzę na temat omawianych zagadnień. Autor ani wydawca nie ponoszą odpowiedzialności za ewentualne skutki wynikające z zastosowania się do informacji zawartych w artykule bez konsultacji z odpowiednim specjalistą.