W piątek, dnia 20 października 2017 roku, Grupa Robocza Art. 29 wydała długo wyczekiwane wytyczne dotyczące administracyjnych kar pieniężnych jakie organy nadzorcze państw członkowskich będą mogły nakładać na administratorów danych oraz podmioty przetwarzające dane osobowe – w Polsce będzie to Prezes Urzędu Ochrony Danych Osobowych, będący następcą GIODO (od 25 maja 2018 roku).
Wytyczne są istotne z powodu wprowadzenia kar pieniężnych nakładanych w trybie administracyjnym, wynoszących nawet do 20 milionów euro (lub wyższych) – decyzje będzie wydawał Prezes UODO, natomiast skarżyć będzie je można do sądów administracyjnych.
Wytyczne zawierają przede wszystkim opis kryteriów miarkujących wymiar kary pieniężnej, wskazanych w art. 83 ust. 2 lit. a-k RODO, choć trudno uznać to za wyczerpujący opis – niestety sam wymiar kar będzie w dużej części zależał o przyjętej polityki organu nadzorczego, przy czym „wachlarz” środków, jakimi nowy urząd będzie dysponował można określić w granicach od „0” do 20 milionów euro, (lub wyższej kwoty, w przypadku przyjęcia kryterium 4% światowego obrotu za poprzedni rok).
Grupa Robocza wskazuje miedzy innymi na brak przestrzegania przyjętych procedur wewnętrznych lub brak przyjęcia procedur (np. polityki bezpieczeństwa) jako przykłady wskazujące na „nieumyślny charakter naruszenia” – czyli braku dochowania staranności przy realizacji obowiązków uregulowanych przez przepisy.
Ponadto, Grupa Robocza, wskazując na motyw 148 preambuły do RODO, zasugerowała, że mogą zaistnieć sytuacje, w których naruszenie RODO jest „niewielkie” – np. gdy w konkretnej sprawie organ nadzorczy stwierdzi, że nie wiąże się ono z istotnym ryzykiem dla praw lub wolności osób, których dane są przetwarzane – kara pieniężna będzie mogła zostać zastąpiona upomnieniem. Grupa Robocza wyraźnie podkreśla, że nawet w przypadku niewielkich naruszeń, zamiana kary pieniężnej na upomnienie jest jedynie możliwością, a nie obowiązkiem organu nadzorczego.
Jeżeli jednak kara pieniężna będzie nakładana np. na osobę fizyczną prowadzącą działalność gospodarczą – organ nadzorczy będzie miał obowiązek zbadania, czy wysokość kary pieniężnej nie będzie stanowiła nieproporcjonalnego obciążenia dla tej osoby fizycznej.
Grupa Robocza zapowiedziała wydanie kolejnych (bardziej szczegółowych) wytycznych dotyczących nakładanych kar pieniężnych w przyszłości.
Autor: Karol Cieniak, prawnik, Dyrektor Działu Prawnego RBDO | Specjalista ds. ochrony danych osobowych
Copyright. Opracowanie autorskie. Wydawnictwo RBDO.PL
Wszelkie prawa zastrzeżone. Cytowanie i publikowanie bez zgody wydawcy RBDO.PL zabronione. Prośby o zgodę na wykorzystanie materiału prosimy wysyłać na adres: biuro@rbdo.pl
Nowe terminy szkoleń z procedur UE RODO Warszawa – 27 listopada oraz 4-5 grudnia 2017 – wyślij delegata firmy i rezerwuj szkolenie tutaj >>
• Nowe procedury ochrony danych UE (RODO) przewidują kary finansowe za uchybienia ochrony danych do 20 mln EURO lub wyższe do 4% przychodu za ub. rok
• W wielu firmach pojawi się obowiązek powołania stanowiska niezależnego Inspektora Ochrony Danych
• Pojawi się wiele nowych procedur, m .in. oceny ryzyk przetwarzania danych, prowadzenie rejestrów czynności czy zgłaszania incydentów w 72 h
—-
Jeśli są Państwo zainteresowani szkoleniem lub audytem i przygotowaniem się do nowych procedur UE (RODO), prosimy o kontakt na mail: biuro@rbdo.pl
Informacje i porady prawne z zakresu ochrony danych: (22) 487 86 70