IOD w służbach musi być niezależny – konieczna jest zmiana przepisów

Prezes Urzędu Ochrony Danych Osobowych skierował do Ministra Spraw Wewnętrznych i Administracji pismo, w którym domaga się nowelizacji ustawy z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości.

Jak wskazał, obecne przepisy nie tylko budzą wątpliwości interpretacyjne, ale pozostają też w sprzeczności z dyrektywą Parlamentu Europejskiego i Rady (UE) 2016/680. Ostatnie wystąpienie Prezesa UODO jest ponownym sygnałem dla resortu – poprzedni apel w tej sprawie został złożony już w 2022 roku.

Według UODO, wątpliwości budzą przede wszystkim przepisy art. 37 ust. 3 i art. 38 ust. 6 ustawy z 14 grudnia 2018 r. Przewidują one możliwość powierzania inspektorowi ochrony danych obowiązków należących do administratora, m.in. przeprowadzania oceny skutków dla ochrony danych oraz składania wniosku o uprzednie konsultacje do Prezesa UODO.

Prezes Urzędu podkreśla, że zgodnie z dyrektywą 2016/680 (art. 27 i art. 28) obowiązki te spoczywają wyłącznie na administratorze danych. Przeniesienie ich na IOD prowadziłoby do konfliktu interesów, naruszając wymóg niezależnego wykonywania zadań przez inspektora.

UODO zwraca także uwagę na brak szczegółowych przepisów regulujących zawiadomienia dotyczące wyznaczenia, odwołania lub zmiany danych inspektora ochrony danych w strukturach organów ścigania.

W przeciwieństwie do ustawy z 10 maja 2018 r. (dotyczącej ogólnej ochrony danych), przepisy z 2018 roku nie określają, jakie informacje administrator powinien przekazywać Prezesowi UODO oraz w jakich przypadkach należy aktualizować zgłoszenie. Brak takiej precyzji, jak ocenia Urząd, utrudnia jednolite stosowanie prawa przez organy takie jak Policja czy straże miejskie.

Dyrektywa 2016/680, określająca zasady przetwarzania danych przez organy ścigania, jasno rozgranicza obowiązki administratora i zadania inspektora ochrony danych. Rolą IOD jest doradztwo, monitorowanie zgodności i współpraca z organem nadzorczym – nie zaś podejmowanie działań merytorycznych w imieniu administratora.

Przy obecnym stanie prawnym inspektor ochrony danych musiałby de facto oceniać własne działania, co podważa niezależność funkcji oraz narusza art. 34 lit. b i c dyrektywy 2016/680.

W podsumowaniu pisma Prezes UODO wnioskuje o rozpoczęcie prac nad zmianą ustawy i dostosowanie jej do wymogów prawa unijnego. Podkreśla, że uregulowanie statusu i zadań IOD ma kluczowe znaczenie dla zapewnienia transparentnego systemu ochrony danych w sektorze bezpieczeństwa publicznego.