RODO na zwolnionych obrotach. Dlaczego postępowania w Polsce trwają latami?

O bezczynności mówimy, gdy w prawnie ustalonym terminie organ nie zakończył postępowania wydaniem decyzji czy postanowienia. Postępowanie jest zaś przewlekłe nie tylko wtedy, gdy trwa dłużej, niż jest to prawem przewidziane, lecz także gdy organ prowadzi je nieefektywnie lub nieskutecznie. Stwierdzając rażącą bezczynność prezesa UODO w marcu tego roku, Naczelny Sąd Administracyjny wyliczał kilkumiesięczne przerwy między kolejnymi czynnościami organu w sprawie skargowej. W rezultacie prezes UODO wydał decyzję nie po przewidzianych prawem (art. 78 ust. 2 RODO) trzech miesiącach, lecz po 17 – za co sąd wymierzył mu 1 tys. zł kary (sygn. akt III OSK 3383/23).

Piotr Liwszic, prawnik i autor serwisu Judykatura.pl, wylicza, że do tej pory Wojewódzki Sąd Administracyjny w Warszawie i NSA rozpoznały ponad sto skarg na bezczynność lub przewlekłość postępowania UODO. Były wśród nich sprawy, w których rozpoznanie skargi zajęło dwa lata, a między czynnościami organu mijało 5–11 miesięcy.

Jakie sprawy z RODO ciągną się najdłużej i dlaczego?

– Najdłużej trwają postępowania ze skarg osób, których dane dotyczą. Nie spotkałem się jeszcze z postępowaniem skargowym, które organ zakończyłby w terminie kodeksowym. Prowadzę za to jako pełnomocnik postępowania skargowe, które na etapie administracyjnym toczą się od 2018 r., to jest od początku obowiązywania RODO – mówi Grzegorz Sibiga.

Doktor Paweł Litwiński, adwokat i partner w kancelarii Barta Litwiński, zastrzega, że problem nie dotyczy tylko Polski. – Emblematycznym przykładem przewlekłości postępowań jest Irlandia, ale problem jest ogólnoeuropejski i wynika głównie z systemowej nierównowagi między organem ochrony danych a gigantami technologicznymi, którzy dopuszczają się naruszeń – wskazuje.

Piotr Liwszic uważa, że przewlekłość jest przede wszystkim skutkiem nieefektywnego modelu komunikowania się. Otrzymawszy skargę, UODO wysyła administratorowi danych jej kopię i ewentualne pytania tradycyjną pocztą. – Oznacza to poświęcenie czasu na wydruk, kopertowanie i nadanie listu, a potem czekanie na jego dostarczenie i kolejne czekanie na wpływ pisemnej odpowiedzi bądź awiza – stwierdza Piotr Liwszic.

Z kolei doktor Dominik Lubasz, radca prawny i wspólnik w kancelarii Lubasz & Wspólnicy, jest zdania, że przewlekłość to bardziej problem systemowy niż problem organu nadzorczego. – Zdarza się, że rozpatrywanie skarg rzeczywiście trwa długo, co wynika przede wszystkim z tego, iż zbieranie informacji jest czasochłonne, zwłaszcza w przypadku spraw dotyczących dużych graczy rynkowych. Nie wynika to jednak moim zdaniem ze sposobu działania samego organu – mówi Dominik Lubasz.

Rzecznik prasowy UODO Karol Witowski wskazuje, że czas oczekiwania na rozpatrzenie skarg „wynika przede wszystkim z dużej liczby spraw”. Jak podaje, w ub.r. wpłynęło 8136 skarg (patrz: infografika).

– Wnoszone skargi mają coraz bardziej skomplikowany charakter i wymagają dłuższego czasu przeznaczanego na ich rozpatrzenie, co wydłuża okresy prowadzonych postępowań administracyjnych – dodaje Karol Witowski. Trudności sprawia też jakość współpracy skarżonych. – Zdarzają się sytuacje, że administratorzy przekazują wyjaśnienia niepełne, spóźnione lub całkowicie uchylają się od udzielenia odpowiedzi – argumentuje rzecznik UODO.

Przewlekłość osłabia ochronę danych osobowych

Grzegorz Sibiga przyznaje, że nie wszystkie rodzaje postępowań są długotrwałe. – Sprawnie i terminowo przebiegają niektóre administracyjne postępowania pokontrolne – stwierdza. Zdarza się też, że UODO reaguje błyskawicznie – jak w przypadku Rafała Brzoski i Omeny Mensah latem ub.r., gdy natychmiast wydał postanowienie zabezpieczające.

– Standardowo mamy jednak do czynienia z bezczynnością albo przewlekłością organu nadzorczego. A to osłabia ochronę danych osobowych i powoduje niepewność gospodarczą dla administratorów objętych postępowaniem. Osłabia też prewencyjne działanie kar – ocenia prof. Sibiga.

W krańcowych sytuacjach może to wręcz uniemożliwić wymierzenie kary. Z powodu przedawnienia Wojewódzki Sąd Administracyjny w Warszawie uchylił niedawno 1,4 mln zł kary dla Santander Banku (wyrok II SA/Wa 774/24; UODO złożył kasację).

– Ochronę danych osobowych powierzono organowi administracji publicznej m.in. dlatego, że postępowania administracyjne miały być szybsze niż sądowe. To jest jeden z istotnych elementów tego systemu – podkreśla Grzegorz Sibiga.

Sąd nie może skorygować decyzji UODO

– Problem przewlekłości się pogłębia, bo z jednej strony praktyki firm technologicznych są coraz bardziej intruzywne, a z drugiej ludzie są coraz bardziej świadomi swoich praw. Do tego w Polsce problem potęgują sądy. Nawet jeśli urząd pospieszy się z decyzją, to mijają cztery lata do jej uprawomocnienia – dodaje Paweł Litwiński.

Dominik Lubasz uważa wręcz, że sądy są najsłabszymi ogniwami łańcucha egzekucji RODO. – Problem w tym, że w postępowaniu sądowo-administracyjnym nie mamy pełnej kontroli merytorycznej, tylko kontrolę legalnościową. Sąd nie bada więc zasadności decyzji prezesa UODO, lecz jedynie weryfikuje, czy została podjęta zgodnie z prawem. Sąd nie zastępuje organu administracji w podejmowaniu decyzji merytorycznych – stwierdza Dominik Lubasz.

Sąd nie może więc skorygować decyzji UODO, a tylko ją podtrzymać albo uchylić. – W razie uchylenia sprawa wraca do ponownego rozpoznania przez prezesa UODO – wskazuje dr Lubasz.

Tak było w głośnych przypadkach Bisnode i Morele.net. Obie firmy zostały przez UODO ukarane w 2019 r. i obie odwołały się do WSA. Następnie wniesiono skargi kasacyjne. Sądy dopatrzyły się uchybień proceduralnych i sprawy wróciły do UODO. W przypadku Morele.net WSA we wrześniu ub.r. podtrzymał już drugą decyzję organu nadzorczego o ukaraniu firmy za naruszenie RODO. – Gdyby zajmował się tym sąd cywilny, mógłby dokonać korekty decyzji, więc mimo potencjalnie dłuższego postępowania sądowego sprawę można by zamknąć dużo szybciej – podkreśla Dominik Lubasz.

Jego zdaniem system usprawniłoby powierzenie spraw RODO odrębnemu sądowi cywilnemu, wyspecjalizowanemu w sprawach z domeny cyfrowej (na wzór sądów własności intelektualnej). – Nie chodzi już tylko o RODO. Wkrótce trzeba będzie rozstrzygać sprawy na gruncie AI Aktu, DSA i podobnych regulacji – przekonuje Dominik Lubasz. – Wymagałoby to jednak nie tylko koncepcji merytorycznej, ale i woli politycznej – przyznaje.

Potrzebne jest nowe otwarcie w egzekwowaniu RODO

Według Grzegorza Sibigi potrzebne jest nowe otwarcie. – Można próbować rozwiązać ten problem przez zmiany organizacyjne i zwiększenie zatrudnienia w urzędzie – mówi. Zmiany organizacyjne mające skrócić czas rozpatrywania spraw zaszły na początku tego roku, gdy powstał Departament Wstępnej Kontroli Skarg i Naruszeń, weryfikujący skargi i zgłoszenia od strony formalnej i oceniający ich wagę.

– Drugą drogą są zmiany legislacyjne upraszczające postępowanie, ale z zachowaniem praw osób, których dane dotyczą – stwierdza prof. Sibiga.

Pawła Litwińskiego argument o zwiększeniu finansowania urzędu nie przekonuje. – To nie rozwiąże problemu – mówi. – Myślę, że potrzebna jest zmiana procedury postępowań na mniej sformalizowaną i bardziej dyscyplinującą strony. Dziś firma może zarzucić urząd dowodami i organ musi je wszystkie rozpatrzyć. A dowody można przesyłać w nieskończoność – wskazuje dr Litwiński.

W maju prezes UODO Mirosław Wróblewski mówił serwisowi WNP.pl, że gdy chciał zakończyć postępowanie dotyczące OpenAI, firma zaczęła „przedstawiać tak obszerną dokumentację, że jej analiza zajmuje bardzo dużo czasu”. W sierpniu miną dwa lata, odkąd niezależny badacz cyberbezpieczeństwa dr Łukasz Olejnik złożył skargę, że OpenAI nielegalnie przetwarza jego dane. Według deklaracji prezesa UODO sprawa ma się zakończyć w tym roku.

- Możliwe jest też dokonanie pewnych dodatkowych czynności w ramach obecnych środków prawnych – dodaje Grzegorz Sibiga. - Prezes UODO dotychczas nie korzystał np. z instytucji mediacji, choć formalnie ma taką możliwość. W szczególności mogłoby to przyspieszyć sprawy skargowe, gdzie mamy dwie strony sporu – uważa. ©℗