Prezes urzędu ochrony danych osobowych

Prezes urzędu ochrony danych osobowych odpowiada za nadzór nad przestrzeganiem przepisów o ochronie danych osobowych w Polsce. Dla osoby fizycznej albo firmy kluczowe jest to, że sprawa trafia do tego organu wtedy, gdy trzeba ocenić legalność przetwarzania, reakcję na naruszenie albo działania administratora danych.

Najprostsza zasada praktyczna jest taka: jeżeli problem można jeszcze wyjaśnić bezpośrednio z administratorem danych, zwykle warto zacząć od tego etapu. Jeżeli jednak brak odpowiedzi, odpowiedź jest pozorna, doszło do naruszenia albo potrzebna jest formalna ocena zgodności z RODO, rola prezesa UODO staje się realna.

Przed decyzją sprawdź aktualną ustawę albo kodeks, właściwy formularz, załączniki i termin wynikający z dokumentu.

Prezes UODO jest centralnym i niezależnym organem administracji publicznej do spraw ochrony danych osobowych. Ta niezależność ma znaczenie praktyczne: organ nie działa jako część administratora danych, nie reprezentuje firmy ani urzędu, którego dotyczy skarga, i nie powinien być traktowany jak zwykły dział reklamacji.

Często pojawia się pytanie, pod kogo podlega prezes UODO. W praktyce najważniejsze jest to, że w zakresie wykonywania ustawowych zadań działa jako organ niezależny. Dla strony postępowania ważniejsze od organizacyjnych niuansów jest to, że urząd ocenia zgodność przetwarzania z prawem, a nie interes jednej ze stron sporu.

Z perspektywy obywatela organ chroni nie tylko formalny porządek administracyjny, ale też prywatność i szerzej rozumiane prawa jednostki, w tym prawa człowieka związane z danymi osobowymi. Nie oznacza to jednak, że każda dolegliwość prawna trafi właśnie tutaj: część spraw pozostaje po stronie sądu cywilnego, sądu karnego albo innego organu.

Obecnym prezesem UODO jest Mirosław Wróblewski. Jego 4-letnia kadencja rozpoczęła się 26 stycznia 2024 r., dlatego przy ocenie aktualności starszych publikacji warto zawsze sprawdzić datę materiału.

Zastępczynią prezesa jest Agnieszka Grzelak. W praktyce ma to znaczenie dlatego, że na stronach urzędu możesz spotkać zarówno informacje o prezesie, jak i o strukturze organizacyjnej urzędu, zastępstwie, statucie urzędu czy funkcjonowaniu instytucji finansowanej z budżetu państwa.

Jeżeli potrzebujesz danych historycznych, warto odróżnić obecny stan od listy osób pełniących funkcję w poprzednich latach. W sprawach procesowych, publikacyjnych i compliance data pełnienia funkcji może mieć znaczenie dla poprawnego opisu stanu faktycznego. Przy sprawach transgranicznych przydają się też materiały powiązane z Europejską Radą Ochrony Danych, ale nie zmienia to podstawowej roli krajowego organu.

Nie każda sprawa o dane osobowe wymaga od razu interwencji organu. Prezes UODO jest właściwy przede wszystkim wtedy, gdy pojawia się problem zgodności przetwarzania z prawem, bezczynność albo nieprawidłowa reakcja administratora danych, naruszenie ochrony danych lub potrzeba formalnej decyzji nadzorczej.

W praktyce często myli się trzy sytuacje: zwykły wniosek do administratora, skargę do UODO i sprawę karną lub cywilną. Jeżeli chcesz uzyskać kopię danych, sprostowanie albo podstawową informację o przetwarzaniu, najpierw zwykle kontaktujesz się z administratorem. Jeżeli administrator działa wadliwie albo doszło do poważniejszego naruszenia, wtedy rośnie znaczenie UODO.

Są też sprawy graniczne. Ujawnienie danych przez podmiot publiczny, problemy z dokumentacją medyczną albo publiczna wypowiedź dotycząca danych zdrowotnych mogą angażować jednocześnie UODO, sąd cywilny, a czasem także sąd karny. Sam rozgłos sprawy nie zastępuje jednak porządnego opisu naruszenia, szkody i dowodów.

Dobre pismo do UODO nie polega na ogólnym stwierdzeniu, że doszło do naruszenia RODO. Trzeba wskazać, kto przetwarza dane, jakie dane są objęte sprawą, co dokładnie się wydarzyło, kiedy doszło do zdarzenia i jakie działania podjęto wcześniej.

Jeżeli składasz skargę po wcześniejszym kontakcie z administratorem, zachowaj korespondencję, potwierdzenia wysyłki, zrzuty ekranu i odpowiedzi. Jeżeli sprawa dotyczy naruszenia, opisz skutki: dostęp osób nieuprawnionych, publiczne ujawnienie, możliwość podszycia się, szkody w sferze prywatności albo dane dotyczące zdrowia.

Nie ma tu bezpiecznej jednej odpowiedzi co do stałej opłaty ani jednego obowiązkowego kanału złożenia każdego rodzaju pisma. Dlatego przed wysyłką warto sprawdzić aktualne wymagania formalne na stronie urzędu.

Prezes UODO nie ogranicza się do publikowania komunikatów. W granicach przepisów może prowadzić postępowania, wydawać rozstrzygnięcia, nakazywać określone działania naprawcze i stosować administracyjne kary pieniężne. To właśnie dlatego dla firm temat nie kończy się na reputacji, ale wchodzi w obszar compliance i realnego ryzyka prawnego.

Nie każda sprawa kończy się karą. W zależności od okoliczności znaczenie mogą mieć także inne środki, w tym wezwanie do usunięcia uchybień, uporządkowania procesu przetwarzania, ograniczenia określonych działań albo zmiany praktyki organizacyjnej.

W przestrzeni publicznej pojawiają się także działania prezesa UODO w sprawach systemowych, w tym dotyczących dokumentacji medycznej czy skarg kasacyjnych w sporach związanych z byłym ministrem zdrowia. Dla czytelnika najważniejszy wniosek jest prosty: urząd działa nie tylko wobec pojedynczych skarg, ale też w sprawach o większym ciężarze ustrojowym i społecznym.

Pierwszy błąd to kierowanie do UODO sprawy, która w ogóle nie została wcześniej nazwana i uporządkowana. Jeżeli w piśmie nie wynika, kto jest administratorem danych, jakie dane są dotknięte problemem i jaki przepis lub obowiązek ma być naruszony, sprawa staje się trudniejsza od samego początku.

Drugi błąd to mieszanie różnych ścieżek ochrony. Skarga do UODO nie zastąpi roszczenia o odszkodowanie, zawiadomienia o przestępstwie ani działań wewnątrz organizacji po incydencie bezpieczeństwa. W sprawach wrażliwych, zwłaszcza dotyczących danych zdrowotnych, dokumentacji medycznej albo ujawnienia danych w debacie publicznej, łatwo przeoczyć potrzebę równoległego działania.

Trzeci błąd to zbyt duża pewność co do wyniku. Sam fakt, że ktoś odczuwa naruszenie prywatności, nie przesądza jeszcze o tym, jakie rozstrzygnięcie zapadnie. Lepiej opisać fakty, skutki i dowody niż próbować od razu przesądzać naruszenie w sposób kategoryczny.

Przykład pierwszy: sklep internetowy nie odpowiada na wniosek o dostęp do danych. To zwykle nie jest od razu sprawa karna ani medialna, tylko klasyczny przypadek, w którym warto zachować korespondencję i rozważyć skargę do UODO po bezskutecznym kontakcie.

Przykład drugi: dane zdrowotne zostały ujawnione w sposób publiczny lub półpubliczny. Tu rośnie ciężar sprawy, bo chodzi o szczególnie wrażliwą kategorię danych. Oprócz ścieżki przed UODO mogą pojawić się pytania o odpowiedzialność cywilną, a w określonych konfiguracjach także karną.

Przykład trzeci: urząd lub szkoła przetwarza dane szerzej, niż to konieczne, ale osoba nie potrafi wskazać konkretnego przepisu ani skutku. W takiej sytuacji najwięcej daje uporządkowanie faktów i zadanie kilku precyzyjnych pytań administratorowi, zamiast od razu budować obszerną, ogólną skargę.

Przykład czwarty: sprawa ma duży wymiar publiczny, jak spory wokół dokumentacji medycznej czy działań byłego ministra zdrowia. Wtedy prezes UODO może podejmować działania istotne nie tylko dla jednej osoby, ale też dla praktyki stosowania prawa w podobnych sprawach.