Upoważnienia według ogólnego rozporządzenia – co będzie trzeba zmienić

Jeżeli osoba, która jest pracownikiem (lub pozostaje zatrudniona niepracowniczo – w przypadku umowy cywilnoprawnej, np. umowy zlecenia) administratora danych, ma przetwarzać dane osobowe, to powinna zostać w tym celu imiennie upoważniona.  To, czy dana osoba może zostać faktycznie (technicznie) dopuszczona do modyfikowania danych osobowych, zależy od treści upoważnienia.

25 maja 2018 r. zacznie obowiązywać rozporządzenie Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Jest to tzw. ogólne rozporządzenie o ochronie danych osobowych, w skrócie rodo.

Podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego, która ma dostęp do danych osobowych, przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego (art. 29 rodo).

Ogólne rozporządzenie, podobnie jak każde rozporządzenie Parlamentu Europejskiego i Rady, będzie – począwszy od dnia jego wejścia w życie, czyli od 25 maja 2018 r. – stosowane bezpośrednio w polskim porządku prawnym. Oznacza to, że niezależnie od tego, co zrobi polski ustawodawca, rozporządzenie zacznie obowiązywać i będzie można powoływać je jako podstawę prawną swoich działań.

Trwają prace nad nową ustawą o ochronie danych osobowych, która ma m.in. zapewnić zgodność polskich rozwiązań ustawodawczych z ogólnym rozporządzeniem. Na tym etapie nie da się przewidzieć rozwoju sytuacji i ostatecznego kształtu regulacji krajowych. Jeżeli nowa ustawa zastąpi starą i wejdzie w życie przed rozpoczęciem stosowania ogólnego rozporządzenia lub równocześnie z nim, to konieczna będzie zmiana podstawy prawnej upoważnienia, skoro stara podstawa zostanie usunięta z porządku prawnego.

Jeżeli jednak nowa ustawa wejdzie w życie po rozpoczęciu stosowania rodo, to jednocześnie będą obowiązywać: „stara” polska ustawa o ochronie danych osobowych i ogólne rozporządzenie o ochronie danych. Trzeba zauważyć, że wejście w życie unijnego rozporządzenia oznacza wprawdzie konieczność jego bezpośredniego stosowania w krajach członkowskich Unii Europejskiej, ale nie powoduje ex lege usunięcia z polskiego porządku prawnego polskiej ustawy. W takim przypadku, w mojej ocenie, pozostawienie upoważnienia z dotychczasową podstawą prawną będzie możliwe, gdyż podstawa ta nadal będzie obowiązywała.