Projekt wdrażający Data Act budzi poważne wątpliwości

Data Act nakłada na państwa członkowskie obowiązek wyznaczenia organów odpowiedzialnych za stosowanie i egzekwowanie rozporządzenia. Zgodnie z projektowanym rozwiązaniem w Polsce funkcję tę pełnić ma prezes Urzędu Komunikacji Elektronicznej. Do jego obowiązków miałoby należeć m.in. rozpatrywanie skarg dotyczących naruszeń Data Act, prowadzenie postępowań i nakładanie kar pieniężnych.

Projekt przewiduje dwie ścieżki składania skargi: szczególna zainicjuje postępowanie administracyjne przed prezesem UKE, natomiast skarga ogólna złożona do prezesa UKE wszczynać będzie postępowanie skargowe.

W opinii do projektu prezes Naczelnego Sądu Administracyjnego, prof. dr hab. Jacek Chlebny, zauważa, że wejście w życie proponowanych przez Ministerstwo Cyfryzacji rozwiązań spowoduje dodatkowe obciążenie wpływem skarg nowej kategorii do Wojewódzkiego Sądu Administracyjnego w Warszawie oraz samego NSA.

Wszystko dlatego, że zgodnie z projektem właściwym do rozpoznania skarg na decyzje wydawane przez prezesa UKE będzie wyłącznie Wojewódzki Sąd Administracyjny w Warszawie, który, jak podkreśla prezes NSA, „jest najbardziej obciążonym sądem administracyjnym pierwszej instancji”. „Z kolei skargi kasacyjne od wyroków wydawanych przez WSA w Warszawie dodatkowo obciążą Naczelny Sąd Administracyjny. Oznacza to, że w istocie projekt oddziałuje wyłącznie na dwa wskazane sądy administracyjne” – napisał prof. Chlebny.

Jego zdaniem zwiększenie zakresu kognicji tych sądów o nowe kategorie spraw może przełożyć się na wzrost obciążeń, generując potrzebę zapewnienia dodatkowych etatów sędziowskich i administracyjnych, umożliwiającą utrzymanie dotychczasowej sprawności orzeczniczej. W ocenie prezesa NSA niezbędne jest więc zabezpieczenie środków budżetowych na sfinansowanie dodatkowych etatów sędziów oraz etatów administracyjnych w Wojewódzkim Sądzie Administracyjnym w Warszawie i w Naczelnym Sądzie Administracyjnym.

Elastyczne rozwiązania w projektowanej ustawie o danych – jak je wprowadzić?

Swoje uwagi do projektu złożył również prezes UKE. Jak zauważył, zgodnie z zaproponowanymi rozwiązaniami postępowanie w sprawie nieprzestrzegania Data Act będzie się kończyć wydaniem decyzji administracyjnej, w której właściwy organ stwierdzi naruszenie przepisów tego rozporządzenia i nałoży administracyjną karę pieniężną albo umorzy postępowanie. Prezes UKE uważa jednak, że do projektu powinny zostać wprowadzone rozwiązania, które umożliwią mu weryfikację sygnałów o ewentualnych nieprawidłowościach (np. skarg użytkowników, informacji od innych organów, doniesień medialnych) w ramach procedury uproszczonej, tj. fakultatywnego postępowania wyjaśniającego, kończonego postanowieniem, prowadzonego w szczególności w celu wstępnego ustalenia, czy nastąpiło naruszenie przepisów Data Act.

Przyjęcie powyższego rozwiązania, jak napisał, zapewni mu możliwość dokonania w ramach wyodrębnionej procedury wstępnych ustaleń faktycznych i prawnych, zebranie dodatkowych informacji lub dokumentów, a także dokonanie wstępnej oceny, czy sygnały o możliwych nieprawidłowościach są uzasadnione.

W konsekwencji właściwy organ będzie miał możliwość reagowania na napływające do właściwego organu sygnały w sprawie stosowania rozporządzenia 2023/2854 w sposób proporcjonalny i adekwatny do okoliczności sprawy.

Przepisy Data Act przewidują, że użytkownicy, posiadacze i odbiorcy danych, a także klienci i dostawcy usług przetwarzania danych powinni mieć możliwość łatwego i skutecznego zaskarżania decyzji dotyczących odmowy, wstrzymania lub zawieszania dzielenia się danymi, a także udostępniania danych niezgodnie z Data Act. Akt w sprawie danych wskazuje na możliwość rozstrzygania sporów przez certyfikowane organy, wykazujące się niezbędną niezależnością, środkami i wiedzą ekspercką. Organem certyfikującym takie organy w Polsce ma być prezes UKE. W związku z powyższym organ ten chce, aby do projektu ustawy dodać zapis, według którego będzie on mógł weryfikować, czy organy do spraw rozstrzygania sporów spełniają warunki zapisane w Data Act, i to nie tylko na etapie początkowej certyfikacji, ale również w trakcie prowadzenia działalności.

Prezes UKE zwrócił bowiem uwagę, że wydanie decyzji o certyfikacji ma charakter jednorazowy i nie gwarantuje, że organ, który ją uzyska, w całym okresie działalności będzie spełniał wymagane warunki, w szczególności w zakresie bezstronności i niezależności, a także niezbędnej wiedzy eksperckiej. Bez możliwości przeprowadzania czynności sprawdzających – w szczególności wglądu do dokumentów i żądania wyjaśnień – prezes UKE może nie być w stanie zweryfikować, czy podmiot spełnia wymagania wynikające z przepisów prawa.

Wymagania przedsiębiorców wobec Data Act – głos biznesu

Art. 2 ust. 2 projektu mówi o tym, że prezes UKE może nałożyć za nieprzestrzeganie ustawy administracyjną karę pieniężną w wysokości do 100 000 zł, a w przypadku przedsiębiorcy – w wysokości nie większej niż 4 proc. obrotu osiągniętego przez ukarany podmiot w roku obrotowym poprzedzającym rok nałożenia kary.

Wątpliwości do tego przepisu zgłosił rzecznik małych i średnich przedsiębiorstw oraz Konfederacja Lewiatan. Ten pierwszy uważa karę w wysokości 4 proc. obrotów za zbyt rygorystyczną. W ocenie Konfederacji Lewiatan możliwość nałożenia kary do 4 proc. rocznego obrotu to sankcja bardzo dotkliwa, porównywalna z karami za naruszenie RODO. Dla dużych firm może to oznaczać kary liczone w milionach złotych.

Konfederacja Lewiatan zwraca też uwagę na brak zróżnicowania sankcji. „Ustawa przewiduje wyłącznie pieniężne kary administracyjne, odnosząc je do szerokiego zakresu naruszeń” – napisano w opinii do projektu.

Propozycje zmian w ustawie o sprawiedliwym dostępie do danych

Rzecznik MiŚP uważa, że w celu przeciwdziałania nakładaniu nieproporcjonalnych kar pieniężnych na podmioty z sektora MŚP warto rozważyć wprowadzenie do projektu rozwiązań, które przewidywałyby, że nałożenie administracyjnej kary pieniężnej musi być poprzedzone wezwaniem do wprowadzenia działań i procedur naprawczych, takich jak: nakaz zaprzestania naruszenia lub wdrożenie mechanizmu korygującego. Zdaniem rzecznika przepisy ustawy powinny przewidywać, że dopiero gdyby takie wezwanie nie przyniosło oczekiwanego skutku, organ mógłby przeprowadzić analizę skutków naruszeń i podjąć czynności związane z nałożeniem kary, jednakże w proporcjonalnej do naruszenia wysokości.

Konfederacja Lewiatan proponuje z kolei wprowadzenie do projektu rozwiązań, które pozwalałyby prezesowi UKE stosować kary kwotowe niezależne od obrotu spółki. Jej zdaniem warto również rozważyć wprowadzenie przepisów, które umożliwiałyby instytucjonalne zróżnicowanie kar w zależności od stopnia naruszenia. Zdaniem przedsiębiorców zasadnym byłoby również rozszerzenie przewidzianego w projekcie katalogu sankcji o kary niefinansowe, takie jak nagana czy ostrzeżenie. To, zdaniem autorów opinii, pozwoliłoby osiągnąć cele projektowanej ustawy bez nadmiernego obciążenia przedsiębiorców w przypadkach mniejszej wagi.

Sam Data Act przewiduje kary inne niż pieniężne. Konfederacja Lewiatan uważa, że celem organu powinno być przede wszystkim doprowadzenie produktu lub usługi do stanu zgodności z unijnym rozporządzeniem, a nie ich karanie. „Po stronie przedsiębiorcy wymagać to będzie zawsze wprowadzenia zmian technicznych i systemowych, które wymagają czasu. Samo nałożenie kary pieniężnej będzie zatem nieefektywne” – czytamy w opinii do projektu.

W ocenie Konfederacji Lewiatan same przepisy Data Act są niejasne i wzbudzają liczne wątpliwości interpretacyjne. „Nie ma utrwalonych praktyk rynkowych, które ułatwiałyby ich zrozumienie, a sama Komisja Europejska przewiduje kształtowanie się interpretacji na podstawie orzecznictwa TSUE (Trybunału Sprawiedliwości Unii Europejskiej – red.). Rodzi to istotne ryzyka dla podmiotów gospodarczych, które są już objęte przepisami Data Act lub mogą za takie być uznane przez organ” – zauważono w opinii.

W związku z tym organizacja postuluje dodanie przepisów wprowadzających możliwość wydawania przez prezesa UKE opinii indywidualnych i wyjaśnień oraz wprowadzenie zinstytucjonalizowanej zasady dialogu podmiotów objętych wymogami Data Act z prezesem UKE. Postuluje też zawieszenie możliwości nakładania sankcji przez okres jednego roku od dnia wejścia w życie przepisów projektowanej ustawy. ©℗