Prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski odniósł się do propozycji zmian w przepisach w ramach tzw. deregulacji. Chodzi o nowelizacje Kodeksu pracy, ustawy o badaniach klinicznych produktów leczniczych oraz ustawy o ochronie sygnalistów, które przewidują rezygnację z wymogu udzielania pisemnych upoważnień do przetwarzania danych osobowych przez administratorów.
Stanowisko Prezesa UODO
Prezes UODO skierował swoje stanowisko do Macieja Berka, ministra nadzoru nad wdrażaniem polityki rządu i przewodniczącego Komitetu Stałego Rady Ministrów. Podkreślił, że obowiązkiem każdego administratora danych jest zapewnienie, aby osoby działające z jego upoważnienia miały dostęp do danych wyłącznie na polecenie administratora. To on określa krąg osób uprawnionych oraz kontroluje sposób dalszego przetwarzania danych.
Brak wymogu pisemnej formy w RODO
Zdaniem Prezesa UODO, przepisy RODO (art. 29 rozporządzenia 2016/679) nie nakładają obowiązku stosowania pisemnych upoważnień jako warunku dopuszczenia pracownika do przetwarzania danych. Unijne prawo wymaga jedynie, aby administrator mógł wykazać, że obowiązki wynikające z RODO są realizowane prawidłowo, w tym zasada rozliczalności (art. 5 ust. 2 RODO). Forma nadania dostępu do danych pozostaje w gestii administratora.
Pisemne upoważnienia jako rozwiązanie nadmiarowe
Prezes UODO wskazał, że przepisy krajowe wprowadzające obowiązek pisemnych upoważnień są rozwiązaniem nadmiarowym, ponieważ takie wymaganie nie wynika z RODO. Podkreślił jednak, że rezygnacja z formy pisemnej nie zwalnia administratorów z obowiązku wykazania, że upoważnienia faktycznie zostały nadane, a nad danymi sprawowana jest realna kontrola.
Potrzeba testu prywatności
W opinii UODO, ustawodawca planujący deregulację powinien rozważyć przeprowadzenie testu prywatności oraz oceny skutków dla ochrony danych (art. 25 ust. 1 i art. 35 RODO). Pozwoliłoby to na wskazanie, czy wprowadzane zmiany wymagają dodatkowych zabezpieczeń prawnych. Jeżeli takie mechanizmy miałyby zostać wdrożone, powinny być jasno określone w przepisach prawa powszechnie obowiązującego.
Prezes Mirosław Wróblewski podziękował jednocześnie Kancelarii Prezesa Rady Ministrów za przekazanie propozycji zmian do zaopiniowania Urzędowi Ochrony Danych Osobowych.
