Warszawa, dnia 12 marca 2012 r. Sz. P. Michał Boni Minister

Warszawa, dnia 12 marca 2012 r.
Sz. P. Michał Boni
Minister Administracji i Cyfryzacji
Uwagi Fundacji Dzieci Niczyje do projektu ogólnego rozporządzenia o ochronie danych
Działając w imieniu Fundacji Dzieci Niczyje niniejszym zgłaszam uwagi do projektu Rozporządzenia
Parlamentu Europejskiego i Rady z 25.1.2012 r. w sprawie ochrony osób fizycznych w związku z
przetwarzaniem
danych
osobowych
i
swobodnym
przepływem
takich
danych
(ogólnego
rozporządzenia o ochronie danych, nr 2012/0011 (COD). Fundacja pozytywnie ocenia kierunek zmian
zaproponowany w projekcie rozporządzenia oraz uwzględnienie w nim szczególnej sytuacji prawnej
dziecka.
Jednakże Fundacja pragnie zgłosić do ww. projektu następujące uwagi.
1.
Wątpliwości budzi sformułowanie użyte w art. 7 ust. 4 projektu. Zgodnie z przywoływanym
przepisem zgoda nie stanowi podstawy prawnej przetwarzania w sytuacji poważnej nierówności
między podmiotem danych a administratorem. Sformułowanie to może nasuwać pytanie, o jaki rodzaj
nierówności chodzi. W odniesieniu do przetwarzania danych osobowych dziecka właściwie każde
przetwarzanie danych może być obciążone taką cechą, jako że nawet organizacja pozarządowa
udzielająca pomocy małoletniemu (i w związku z tym przetwarzająca jego dane) może być uznana za
taką, która pozostaje w relacji ww. nierówności, tj. ma nieporównywalnie silniejszą pozycję od pozycji
dziecka. Dlatego postulujemy doprecyzowanie tego sformułowania.
2. Pozytywnie należy ocenić umieszczenie w projekcie rozporządzenia art. 8, regulującego kwestię
przetwarzania danych osobowych dziecka. Jednakże należy wskazać, iż przepis ten odnosi się
jedynie do oferowania dziecku do 13 roku życia usług społeczeństwa informacyjnego. Poza zakresem
rozporządzenia znajdują się więc inne, częstokroć równie poważne w skutkach, działania podmiotów
trzecich związane z danymi osobowymi małoletniego w tym wieku. Należy uznać to za lukę
proponowanego rozwiązania. Jednocześnie brak jest we wskazanym
przepisie obowiązku
administratora podejmowania racjonalnych starań w celu uzyskania informacji o wieku osoby, która z
danych usług korzysta i weryfikacji tej informacji (chociażby przez zadanie pytania o wiek).
Brakuje w projekcie rozporządzenia, co jest z pewnością zamierzone przez projektodawcę, wspólnych
postanowień dotyczących zgody wyrażanej przez dzieci w wieku 13-18 lat. Problemem pojawiającym
się w praktyce Fundacji jest kwestia uprawnienia małoletnich, którzy ukończyli 13 rok życia, do
dysponowania swoimi danymi osobowymi, w szczególności danymi o szczególnym charakterze,
których przetwarzanie co do zasady jest zakazane (art. 9 projektu rozporządzenia). Harmonizacja
regulacji państw członkowskich UE w tym zakresie, zdaniem Fundacji, byłaby również wskazana.
3. Wątpliwości budzi sformułowanie art. 9 ust. 2 pkt e, zgodnie z którym przetwarzanie szczególnych
kategorii danych osobowych jest dopuszczalne, jeśli przetwarzanie dotyczy danych osobowych, które
zostały wyraźnie podane do publicznej wiadomości przez podmiot danych. Nie negując potrzeby takiej
regulacji, należy wskazać na problemy praktyczne, które z nią mogą się wiązać. Biorąc bowiem pod
uwagę fakt, że ciężar dowodu, iż istnieje podstawa do przetwarzania danych, spoczywa na
administratorze, będzie on musiał wykazać każdorazowo zaistnienie przesłanki wyraźnego podania
danych do publicznej wiadomości. W kontekście rozwoju technologii, zwłaszcza Internetu, może być
to trudne, jeśli nie niemożliwe.
4. Postulujemy, by wprowadzić zmianę w art. 9 ust. 2 pkt j projektu. Wzmiankowany przepis stanowi,
iż dopuszczalne jest przetwarzanie danych dotyczących wyroków skazujących za przestępstwa lub
powiązanych środków zabezpieczających jeśli m.in. przetwarzanie jest niezbędne dla wypełnienia
obowiązku prawnego lub regulacyjnego, któremu podlega administrator. Dane dotyczące wyroków
skazujących odgrywają niezwykle istotną rolę w przeciwdziałaniu krzywdzeniu dzieci (zwłaszcza
seksualnemu) przez skazanego już wcześniej sprawcę. Szereg polskich ustaw szczególnych
wprowadza już wymóg niekaralności za przestępstwa umyślne dla osób pracujących z dziećmi (np.
Ustawa z dnia 9 czerwca 2011 r. o wspieraniu rodziny i systemie pieczy zastępczej,
Dz.U.2011.149.887). Jednak nie we wszystkich przypadkach przepisy te obligują danego
administratora do pozyskania informacji o niekaralności, w niektórych przypadkach przyznają mu
jedynie takie uprawnienie. Nie można wykluczyć, iż podobna sytuacja może zachodzić w prawie
krajowym innych państw członkowskich UE. Dlatego postulujemy wprowadzenie za sformułowaniem
„niezbędne do wypełnienia obowiązku prawnego” sformułowania „lub uprawnienia wynikającego z
przepisu prawa”.
5. Przedmiotem rozważań powinien stać się także art. 15 ust. 1 pkt g stanowiący, iż podmiot danych
ma prawo do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe
odnoszące się do niego. Jednocześnie ma on zawsze prawo do uzyskania informacji o ich źródle.
Przepis ten wydaje się niespójny z proponowanym zapisem art. 14 ust 5 pkt d, który wyłącza
obowiązek informacyjny w stosunku do takiego podmiotu danych, od którego te dane nie zostały
zebrane, jeżeli prowadziłoby to do naruszenia praw i wolności osób trzecich. Przykładowo można tutaj
podać sytuację przetwarzania danych osobowych członków rodziny klienta organizacji pomocowej (w
tym domniemanego sprawcy przemocy wobec klienta), które jest niezbędne do udzielenia pomocy
klientowi
(prawnej,
socjalnej,
psychologicznej
itp.).
Zgodnie
z
projektowanymi
zapisami
rozporządzenia, nie informuje się obligatoryjnie ww. członka rodziny o fakcie przetwarzania jego
danych, o ile doszłoby tym samym do naruszenia prawa klienta. Jednak na wniosek ww. członka
rodziny należy mu udzielić szeregu informacji – w tym wszechstronnych informacji o źródle (w tym
przypadku
–
o
kliencie,
który
konkretnych
informacji
o
nim
udzielił).
Należy uznać, iż takie rozwiązanie jest niespójne i – zwłaszcza w sytuacjach podobnych do ww.
wymienionej – niepożądane. Wobec tego, proponujemy wprowadzić w art. 15 wyłączenie obowiązku
ujawniania informacji o źródle danych osobowych w przypadku, jeśli udzielenie tych informacji
naruszyłoby prawa i wolności osób trzecich.
6. Nie jest także jasny zapis artykułu 33 ust.2 pkt b, dotyczący obligatoryjnego sporządzenia oceny
skutków przetwarzania danych w przypadku, gdy przetwarzanie informacji na temat życia
seksualnego, stanu zdrowia, rasy i pochodzenia etnicznego oraz świadczenia usług opieki zdrowotnej,
badań epidemiologicznych lub badań mających na celu wykrycie chorób psychicznych bądź
zakaźnych odbywa się w celu podjęcia na szeroką skalę środków lub decyzji dotyczących konkretnych
osób. Artykuł 79 ust. 6 pkt i projektu przewiduje poważne konsekwencje za naruszenie tego przepisu,
zatem pojęcie to powinno być bardziej precyzyjne (np. doprecyzowana powinna zostać kwestia tego, o
jakie środki lub decyzje w przepisie chodzi).
Z uwagi na wyznaczenie końcowego terminu konsultacji na dzień 11 marca 2012 r., tj. niedzielę dzień wolny od pracy, wysłanie niniejszego pisma w poniedziałek 12 marca należy uznać za dokonane
z dochowaniem ww. terminu.
Oprac. Olga Trocha, dział prawny Fundacji Dzieci Niczyje
Z poważaniem,
Wiceprezes Zarządu
Fundacji Dzieci Niczyje