107 RODO: kiedy złożyć właściwe pismo w praktyce prawnej?

Unijne rozporządzenie o ochronie danych osobowych (RODO) w artykule 107 nakłada na państwa członkowskie Unii Europejskiej obowiązek ustanowienia przepisów określających inne sankcje za naruszenia rozporządzenia, w szczególności za naruszenia, które nie podlegają administracyjnym karom pieniężnym. W polskim porządku prawnym bezpośrednim wykonaniem tego zobowiązania jest art. 107 ustawy o ochronie danych osobowych (UODO). W praktyce prawnej niezwykle istotne jest zrozumienie, kiedy, do jakiego organu oraz w jakiej formie złożyć właściwe pismo, aby skutecznie zainicjować procedurę pociągnięcia do odpowiedzialności karnej osoby naruszającej przepisy o ochronie danych.

Teza publikacji: Rozróżnienie ścieżki administracyjnej od karnej

Główną tezą niniejszego opracowania jest twierdzenie, że skuteczność ochrony praw osób, których dane dotyczą, zależy od prawidłowego wyboru ścieżki proceduralnej. Naruszenie przepisów o ochronie danych osobowych może skutkować równoległym uruchomieniem dwóch niezależnych postępowań: administracyjnego przed Prezesem Urzędu Ochrony Danych Osobowych (PUODO) oraz karnego przed organami ścigania. Artykuł 107 RODO stanowi pomost między prawem unijnym a krajowym prawem karnym. Złożenie pisma takiego jak zawiadomienie o możliwości popełnienia przestępstwa jest uzasadnione wyłącznie wtedy, gdy doszło do wyczerpania znamion czynu zabronionego określonego w polskiej ustawie, a nie przy każdym, nawet najmniejszym incydencie bezpieczeństwa.

Na czym polega problem: Istota art. 107 RODO i art. 107 UODO

Problem praktyczny polega na częstym utożsamianiu naruszenia administracyjnego z przestępstwem. Artykuł 107 RODO wskazuje, że sankcje karne lub inne sankcje krajowe muszą być skuteczne, proporcjonalne i odstraszające. Polski ustawodawca w art. 107 ust. 1 UODO spenalizował zachowanie polegające na przetwarzaniu danych osobowych, choć ich przetwarzanie nie jest dopuszczalne albo do którego przetwarzania sprawca nie jest uprawniony. Z kolei art. 107 ust. 2 UODO przewiduje surowszą odpowiedzialność, jeżeli czyn dotyczy danych szczególnej kategorii (tzw. danych wrażliwych, np. o zdrowiu, poglądach politycznych czy wyrokach skazujących). Podstawowym problemem w praktyce jest ustalenie, czy dane działanie nosi znamiona czynu zabronionego, czy jest jedynie deliktem administracyjnym podlegającym karze nakładanej przez PUODO.

Kogo dotyczy odpowiedzialność karna?

Odpowiedzialność karna ma charakter zindywidualizowany i osobisty. Oznacza to, że w przeciwieństwie do administracyjnych kar pieniężnych, które nakłada się na administratora danych (np. spółkę, urząd, fundację), odpowiedzialność na podstawie art. 107 UODO ponosi konkretna osoba fizyczna. Może to być pracownik, który bez upoważnienia pobrał bazę danych klientów, członek zarządu podejmujący decyzję o nielegalnym profilowaniu, czy też osoba trzecia, która weszła w posiadanie danych bez tytułu prawnego. Zrozumienie tego podziału determinuje to, jak sformułujemy nasz wniosek i kogo wskażemy jako osobę podejrzaną o popełnienie czynu zabronionego.

Podstawa prawna i mechanizm praktyczny

Mechanizm praktyczny opiera się na korelacji normy blankietowej z art. 107 RODO z normą sankcjonującą z art. 107 polskiej ustawy o ochronie danych osobowych oraz przepisami Kodeksu postępowania karnego (KPK). Aby pismo wywołało pożądany skutek prawny, musi precyzyjnie opisywać stan faktyczny w kontekście braku uprawnienia do przetwarzania danych. Kluczowe pojęcia to:

Brak dopuszczalności przetwarzania: sytuacja, w której w ogóle nie istnieje żadna z przesłanek legalizacyjnych określonych w art. 6 ust. 1 RODO (dla danych zwykłych) lub art. 9 ust. 2 RODO (dla danych szczególnej kategorii).
Brak uprawnienia do przetwarzania: sytuacja, w której dany podmiot lub osoba fizyczna nie posiada indywidualnego upoważnienia, umowy powierzenia przetwarzania danych lub innego tytułu prawnego do operowania na określonym zbiorze danych.

Warunki i przesłanki złożenia pisma (zawiadomienia)

Przed podjęciem decyzji o skierowaniu pisma do organów ścigania, należy przeanalizować, czy spełnione zostały ustawowe przesłanki. Przestępstwo z art. 107 UODO jest przestępstwem formalnym (bezskutkowym) – do jego zaistnienia nie jest wymagane powstanie jakiejkolwiek szkody majątkowej czy osobistej po stronie osoby, której dane dotyczą. Wystarczy sam fakt nielegalnego przetwarzania danych. Jednakże, w praktyce prokuratorskiej kluczowe znaczenie ma wykazanie umyślności działania sprawcy. Sprawca musi mieć świadomość, że nie jest uprawniony do przetwarzania danych lub że przetwarzanie to jest niedopuszczalne, i co najmniej godzić się na to (zamiar ewentualny) lub bezpośrednio tego chcieć (zamiar bezpośredni).

Procedura krok po kroku: Jak i gdzie złożyć pismo?

Poniżej przedstawiamy szczegółową procedurę postępowania w przypadku wykrycia nielegalnego przetwarzania danych osobowych wyczerpującego znamiona przestępstwa.

Krok 1: Analiza stanu faktycznego i zabezpieczenie dowodów. Zanim sformułujesz wniosek, zabezpiecz wszelkie dowody potwierdzające nielegalny proceder. Mogą to być zrzuty ekranu, logi systemowe, wiadomości e-mail, umowy czy zeznania świadków. Pamiętaj, że ciężar uprawdopodobnienia czynu spoczywa początkowo na zgłaszającym.
Krok 2: Ustalenie tożsamości sprawcy (w miarę możliwości). Wskazanie konkretnej osoby fizycznej znacznie przyspieszy działanie organów ścigania, choć nie jest to warunek konieczny do złożenia zawiadomienia (można złożyć zawiadomienie o popełnieniu przestępstwa przez nieznanego sprawcę).
Krok 3: Sporządzenie zawiadomienia o możliwości popełnienia przestępstwa. Pismo to musi spełniać wymogi formalne pisma procesowego określone w art. 119 Kodeksu postępowania karnego. Powinno zawierać oznaczenie organu, dane zgłaszającego, opis czynu, czas i miejsce jego popełnienia, wskazanie dowodów oraz uzasadnienie.
Krok 4: Wybór właściwego organu. Pismo należy skierować do prokuratury lub jednostki policji właściwej miejscowo dla miejsca popełnienia czynu (najczęściej jest to miejsce, w którym sprawca dokonywał nielegalnych operacji na danych lub siedziba podmiotu, w którym doszło do naruszenia).
Krok 5: Monitorowanie biegu sprawy. Po złożeniu pisma, organ ma obowiązek wydać postanowienie o wszczęciu lub odmowie wszczęciu śledztwa/dochodzenia. Jako pokrzywdzonemu przysługuje Ci prawo do zaskarżenia postanowienia o odmowie wszczęcia lub o umorzeniu postępowania.

Najczęstsze błędy i ryzyka proceduralne

W praktyce prawnej najczęstszym błędem jest kierowanie zawiadomień o przestępstwie bezpośrednio do Prezesa Urzędu Ochrony Danych Osobowych. PUODO jest organem administracyjnym, a nie organem ścigania. Choć PUODO ma ustawowy obowiązek (wynikający z art. 304 Kodeksu postępowania karnego) zawiadomienia prokuratury w przypadku powzięcia informacji o przestępstwie, to pośrednictwo tego organu drastycznie wydłuża całą procedurę. Kolejnym błędem jest brak precyzyjnego określenia, na czym polegał brak uprawnienia do przetwarzania danych, co skutkuje szybkim umorzeniem postępowania przez prokuratora z uwagi na brak znamion czynu zabronionego. Należy również pamiętać o ryzyku odpowiedzialności za fałszywe oskarżenie (art. 234 Kodeksu karnego), jeśli zawiadomienie zostanie złożone w złej wierze, bez żadnych podstaw faktycznych.

Praktyczny przykład zastosowania procedury

Wyobraźmy sobie sytuację, w której pracownik działu marketingu firmy X decyduje się odejść z pracy i założyć własną działalność gospodarczą o zbliżonym profilu. Przed zdaniem służbowego laptopa, kopiuje on na prywatny nośnik USB pełną bazę danych klientów firmy X zawierającą imiona, nazwiska, adresy e-mail oraz numery telefonów. Następnie wysyła do tych osób ofertę swojej nowej firmy. W tym przypadku pracownik nie posiadał uprawnienia do przetwarzania tych danych do celów prywatnych ani po ustaniu stosunku pracy. Firma X, jako administrator danych, po wykryciu wycieku (np. poprzez analizę logów systemowych) powinna niezwłocznie sporządzić zawiadomienie o możliwości popełnienia przestępstwa z art. 107 ust. 1 UODO przez byłego pracownika i złożyć je do właściwej prokuratury rejonowej, dołączając zabezpieczone dowody cyfrowe.

Skutki prawne złożenia pisma

Złożenie prawidłowo sformułowanego pisma inicjuje postępowanie przygotowawcze. Jeżeli prokurator uzna, że zachodzi uzasadnione podejrzenie popełnienia przestępstwa, wszczyna dochodzenie lub śledztwo. Dla sprawcy skutki mogą być bardzo dotkliwe – art. 107 ust. 1 UODO przewiduje karę grzywny, ograniczenia wolności albo pozbawienia wolności do lat dwóch. W przypadku danych wrażliwych (art. 107 ust. 2 UODO) zagrożenie karą wzrasta do 3 lat pozbawienia wolności. Ponadto, skazanie wyrokiem karnym uniemożliwia pełnienie wielu funkcji publicznych oraz zasiadanie w zarządach spółek kapitałowych, co stanowi potężny środek odstraszający.

Podsumowanie i rekomendacje dla praktyków

Artykuł 107 RODO w połączeniu z polską ustawą o ochronie danych osobowych stanowi potężne narzędzie w rękach osób, których dane dotyczą, oraz poszkodowanych administratorów. Aby procedura była skuteczna, wniosek kierowany do organów ścigania musi być perfekcyjnie przygotowany pod kątem dowodowym i prawnym. Kluczowe jest ścisłe wykazanie braku uprawnienia sprawcy oraz umyślności jego działania. Pamiętajmy, że termin przedawnienia karalności tych czynów wynosi 5 lat od momentu ich popełnienia, co daje relatywnie dużo czasu na podjęcie odpowiednich kroków prawnych, jednak zwłoka zawsze działa na niekorzyść zabezpieczania dowodów cyfrowych.