Warszawa, dnia 12 marca 2012 r. Sz. P. Michał Boni Minister
Transkrypt
Warszawa, dnia 12 marca 2012 r. Sz. P. Michał Boni Minister
Warszawa, dnia 12 marca 2012 r. Sz. P. Michał Boni Minister Administracji i Cyfryzacji Uwagi Fundacji Dzieci Niczyje do projektu ogólnego rozporządzenia o ochronie danych Działając w imieniu Fundacji Dzieci Niczyje niniejszym zgłaszam uwagi do projektu Rozporządzenia Parlamentu Europejskiego i Rady z 25.1.2012 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych (ogólnego rozporządzenia o ochronie danych, nr 2012/0011 (COD). Fundacja pozytywnie ocenia kierunek zmian zaproponowany w projekcie rozporządzenia oraz uwzględnienie w nim szczególnej sytuacji prawnej dziecka. Jednakże Fundacja pragnie zgłosić do ww. projektu następujące uwagi. 1. Wątpliwości budzi sformułowanie użyte w art. 7 ust. 4 projektu. Zgodnie z przywoływanym przepisem zgoda nie stanowi podstawy prawnej przetwarzania w sytuacji poważnej nierówności między podmiotem danych a administratorem. Sformułowanie to może nasuwać pytanie, o jaki rodzaj nierówności chodzi. W odniesieniu do przetwarzania danych osobowych dziecka właściwie każde przetwarzanie danych może być obciążone taką cechą, jako że nawet organizacja pozarządowa udzielająca pomocy małoletniemu (i w związku z tym przetwarzająca jego dane) może być uznana za taką, która pozostaje w relacji ww. nierówności, tj. ma nieporównywalnie silniejszą pozycję od pozycji dziecka. Dlatego postulujemy doprecyzowanie tego sformułowania. 2. Pozytywnie należy ocenić umieszczenie w projekcie rozporządzenia art. 8, regulującego kwestię przetwarzania danych osobowych dziecka. Jednakże należy wskazać, iż przepis ten odnosi się jedynie do oferowania dziecku do 13 roku życia usług społeczeństwa informacyjnego. Poza zakresem rozporządzenia znajdują się więc inne, częstokroć równie poważne w skutkach, działania podmiotów trzecich związane z danymi osobowymi małoletniego w tym wieku. Należy uznać to za lukę proponowanego rozwiązania. Jednocześnie brak jest we wskazanym przepisie obowiązku administratora podejmowania racjonalnych starań w celu uzyskania informacji o wieku osoby, która z danych usług korzysta i weryfikacji tej informacji (chociażby przez zadanie pytania o wiek). Brakuje w projekcie rozporządzenia, co jest z pewnością zamierzone przez projektodawcę, wspólnych postanowień dotyczących zgody wyrażanej przez dzieci w wieku 13-18 lat. Problemem pojawiającym się w praktyce Fundacji jest kwestia uprawnienia małoletnich, którzy ukończyli 13 rok życia, do dysponowania swoimi danymi osobowymi, w szczególności danymi o szczególnym charakterze, których przetwarzanie co do zasady jest zakazane (art. 9 projektu rozporządzenia). Harmonizacja regulacji państw członkowskich UE w tym zakresie, zdaniem Fundacji, byłaby również wskazana. 3. Wątpliwości budzi sformułowanie art. 9 ust. 2 pkt e, zgodnie z którym przetwarzanie szczególnych kategorii danych osobowych jest dopuszczalne, jeśli przetwarzanie dotyczy danych osobowych, które zostały wyraźnie podane do publicznej wiadomości przez podmiot danych. Nie negując potrzeby takiej regulacji, należy wskazać na problemy praktyczne, które z nią mogą się wiązać. Biorąc bowiem pod uwagę fakt, że ciężar dowodu, iż istnieje podstawa do przetwarzania danych, spoczywa na administratorze, będzie on musiał wykazać każdorazowo zaistnienie przesłanki wyraźnego podania danych do publicznej wiadomości. W kontekście rozwoju technologii, zwłaszcza Internetu, może być to trudne, jeśli nie niemożliwe. 4. Postulujemy, by wprowadzić zmianę w art. 9 ust. 2 pkt j projektu. Wzmiankowany przepis stanowi, iż dopuszczalne jest przetwarzanie danych dotyczących wyroków skazujących za przestępstwa lub powiązanych środków zabezpieczających jeśli m.in. przetwarzanie jest niezbędne dla wypełnienia obowiązku prawnego lub regulacyjnego, któremu podlega administrator. Dane dotyczące wyroków skazujących odgrywają niezwykle istotną rolę w przeciwdziałaniu krzywdzeniu dzieci (zwłaszcza seksualnemu) przez skazanego już wcześniej sprawcę. Szereg polskich ustaw szczególnych wprowadza już wymóg niekaralności za przestępstwa umyślne dla osób pracujących z dziećmi (np. Ustawa z dnia 9 czerwca 2011 r. o wspieraniu rodziny i systemie pieczy zastępczej, Dz.U.2011.149.887). Jednak nie we wszystkich przypadkach przepisy te obligują danego administratora do pozyskania informacji o niekaralności, w niektórych przypadkach przyznają mu jedynie takie uprawnienie. Nie można wykluczyć, iż podobna sytuacja może zachodzić w prawie krajowym innych państw członkowskich UE. Dlatego postulujemy wprowadzenie za sformułowaniem „niezbędne do wypełnienia obowiązku prawnego” sformułowania „lub uprawnienia wynikającego z przepisu prawa”. 5. Przedmiotem rozważań powinien stać się także art. 15 ust. 1 pkt g stanowiący, iż podmiot danych ma prawo do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe odnoszące się do niego. Jednocześnie ma on zawsze prawo do uzyskania informacji o ich źródle. Przepis ten wydaje się niespójny z proponowanym zapisem art. 14 ust 5 pkt d, który wyłącza obowiązek informacyjny w stosunku do takiego podmiotu danych, od którego te dane nie zostały zebrane, jeżeli prowadziłoby to do naruszenia praw i wolności osób trzecich. Przykładowo można tutaj podać sytuację przetwarzania danych osobowych członków rodziny klienta organizacji pomocowej (w tym domniemanego sprawcy przemocy wobec klienta), które jest niezbędne do udzielenia pomocy klientowi (prawnej, socjalnej, psychologicznej itp.). Zgodnie z projektowanymi zapisami rozporządzenia, nie informuje się obligatoryjnie ww. członka rodziny o fakcie przetwarzania jego danych, o ile doszłoby tym samym do naruszenia prawa klienta. Jednak na wniosek ww. członka rodziny należy mu udzielić szeregu informacji – w tym wszechstronnych informacji o źródle (w tym przypadku – o kliencie, który konkretnych informacji o nim udzielił). Należy uznać, iż takie rozwiązanie jest niespójne i – zwłaszcza w sytuacjach podobnych do ww. wymienionej – niepożądane. Wobec tego, proponujemy wprowadzić w art. 15 wyłączenie obowiązku ujawniania informacji o źródle danych osobowych w przypadku, jeśli udzielenie tych informacji naruszyłoby prawa i wolności osób trzecich. 6. Nie jest także jasny zapis artykułu 33 ust.2 pkt b, dotyczący obligatoryjnego sporządzenia oceny skutków przetwarzania danych w przypadku, gdy przetwarzanie informacji na temat życia seksualnego, stanu zdrowia, rasy i pochodzenia etnicznego oraz świadczenia usług opieki zdrowotnej, badań epidemiologicznych lub badań mających na celu wykrycie chorób psychicznych bądź zakaźnych odbywa się w celu podjęcia na szeroką skalę środków lub decyzji dotyczących konkretnych osób. Artykuł 79 ust. 6 pkt i projektu przewiduje poważne konsekwencje za naruszenie tego przepisu, zatem pojęcie to powinno być bardziej precyzyjne (np. doprecyzowana powinna zostać kwestia tego, o jakie środki lub decyzje w przepisie chodzi). Z uwagi na wyznaczenie końcowego terminu konsultacji na dzień 11 marca 2012 r., tj. niedzielę dzień wolny od pracy, wysłanie niniejszego pisma w poniedziałek 12 marca należy uznać za dokonane z dochowaniem ww. terminu. Oprac. Olga Trocha, dział prawny Fundacji Dzieci Niczyje Z poważaniem, Wiceprezes Zarządu Fundacji Dzieci Niczyje