Jeszcze przed wejściem RODO, decyzje wówczas Generalnego Inspektora Ochrony Danych Osobowych, były rzadko podważane. Ze sprawozdania za 2019 rok wynika, że Wojewódzki Sąd Administracyjny, uwzględnił tylko 12 proc. skarg. Wówczas jednak temat nie budził takich emocji, bo nie wiązał się z wysokimi karami. Odkąd obowiązuje RODO, czyli od 25 maja 2018 roku, firmom za naruszenie jego przepisów grozi nawet do 20 milionów euro, a organom administracji do 100 tys. złotych kary.
Czytaj w LEX: Środki ochrony prawnej przysługujące w razie naruszenia ochrony danych >
Tymczasem po pierwszych wyrokach widać, że podważenie decyzji nakładających kary jest bardzo trudne, bo postępowanie przed sądem administracyjnym nie umożliwia ich weryfikacji. Dlatego, zdaniem prawników, przyszedł czas na zmiany. Niektórzy wręcz twierdzą, że obecną procedurę może zakwestionować Trybunał Sprawiedliwości UE.
Decyzje nakładające wysokie kary - nie do podważenia
Na początku września Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę spółki Morele.net na decyzję prezesa UODO, nakładającą na nią 2,8 mln złotych kary. Sąd zgodził się z UODO, że doszło do wycieku danych, bo sklep nie zabezpieczył ich wystarczająco dobrze. Z kolei 26 sierpnia WSA oddalił skargę Burmistrza Aleksandrowa Kujawskiego na decyzję UODO, nakładającą 40 tys. zł kary za naruszenie RODO. Pod koniec 2019 roku WSA co prawda uchylił jego decyzję w sprawie Bisnode, ale otworzył tym drogę do nałożenia nawet wyższej kary. Wszystko wskazuje na to, że jeśli Główny Geodeta Kraju odwoła się o decyzji nakładającej 100 tys. zł kary za ujawnianie numerów ksiąg wieczystych, na Geoportalu, też może przegrać. Prawnicy zwracają uwagę, że dotychczasowe sprawy, zwłaszcza morele.net, pokazują, że procedura administracyjna zawodzi.
Czytaj w LEX: Analiza decyzji Prezesa UODO nakładającej karę na Morele.net >
Procedura administracyjna nie pozwala na obronę
- System prawny testuje się, niestety, na "produkcji" – mówi dr Mirosław Gumularz, radca prawny partner w kancelarii GKK Gumularz Kozik. Wskazuje, że teraz wyraźnie widać, że sąd administracyjny w ogóle nie bada, czy dany podmiot jest winny naruszenia zarzucanego przez prezesa UODO. W pełni zgadza się z nim dr Arwid Mednis, radca prawny, partner w kancelarii Kobylańska Lewoszewski Mednis.
- Spełnienie wymagań RODO, zwłaszcza odnośnie bezpieczeństwa danych, to w dużej mierze kwestia ocenna. Administrator ocenia ryzyko, koszty, itp. i dobiera odpowiednie zabezpieczenia, a prezes UODO może zbadać poprawność tej oceny i dobór środków. Natomiast rolą sądu powinno być sprawdzenie, czy organ wziął pod uwagę wszystko to, czego RODO w tym zakresie wymaga. A na to procedura sądowo-administracyjna nie pozwala – wskazuje mec. Mednis.
Tak samo uważa Paweł Litwiński, adwokat, wspólnik w kancelarii Barta Litwiński. - Postępowanie dotyczące nałożenia kary przez prezesa UODO jest w polskich realiach wyjątkowe, bo to jest kara administracyjna uzależniona od stopnia zawinienia i współpracy z organem. Tyle, że obu okoliczności nie da się dowodzić przed sądem administracyjnym. Właściwie nie da się przed nim dowodzić żadnych faktów, bo sąd może przeprowadzić dowody uzupełniające wyłącznie z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania. Nie można przesłuchać strony, ani świadka. W efekcie strona wnosząca skargę tak naprawdę już na wstępie jest na przegranej pozycji, bo nie może skutecznie prowadzić dowodów na swoją obronę – wyjaśnia mec. Litwiński.
Czytaj w LEX: Analiza decyzji administracyjnych Prezesa UODO z lat 2018-2020 >
Sławomir Kowalski, partner w kancelarii Maruta Wachta, reprezentującej morele.net, zauważa jeszcze, że skutecznie można się zacząć bronić od momentu, w którym wiadomo jaki jest konkretnie zarzut. - Jeśli jest skonkretyzowany dopiero w decyzji, to w postępowaniu przed organem bronimy się na ślepo. WSA nie dostrzegł tego problemu i jednocześnie na etapie postępowania przed WSA jest już za późno, by kwestionować ustalenia dokonane przez organ nadzorczy - mówi.
Czy można to zmienić?
Jaki sąd właściwy dla RODO
Prawnicy zgodnie twierdzą, że zmiany są konieczne, i jako przykład wskazują Niemcy. Tam system odwoławczy od decyzji organu w sprawach ochrony danych osobowych jest mieszany. Na przykład odwołania od decyzji w sprawie kar są rozpatrywane przez sądy cywilne, ale już odwołania od postanowień nakazowych - przez sądy administracyjne.
Zobacz procedurę w LEX: Wnoszenie skargi na decyzję Prezesa Urzędu Ochrony Danych Osobowych do sądu administracyjnego >
- W Niemczech zarówno sądy administracyjne, jak i cywilne, w pełni oceniają meritum sprawy. Więc ich kognicja jest szersza, niż w Polsce – mówi Izabela Kowalczuk-Pakuła, radca prawny, partner w kancelarii Bird & Bird. I dodaje, że patrząc na ten przykład, powinniśmy wrócić to dyskutowanej przed wdrożeniem RODO szerszej kognicji sądów. - Skoro koncepcja wyspecjalizowanych sądów sprawdziła się w znakach towarowych UE, to dlaczego nie spróbować w danych osobowych – proponuje mec. Kowalczuk-Pakuła. Większość prawników uważa jednak, że wciąż mamy za mało takich spraw, by tworzyć wyspecjalizowane sądy, ale spokojnie sprawy dotyczące kar mogłyby rozpatrywać sądy powszechne - na wzór spraw antymonopolowych.
– Od zawsze krytykowałem właściwość sądów administracyjnych w sprawach ochrony danych. Powinien być sąd powszechny specjalistyczny, jak antymonopolowy – mówi Maciej Gawroński, radca prawny, partner w Gawroński & Partners. Podobnie uważa mec. Gumularz. – Decyzje prezesa UODO na etapie sądowym powinny być rozpatrywane w trybie postępowania cywilnego jak decyzje prezesa UOKiK. Sąd wówczas może przeprowadzić dowody, powołać biegłych, ocenić merytorycznie zasadność i celowość decyzji – podkreśla. Dominik Lubasz, radca prawny, partner w kancelarii Lubasz i Wspólnicy, także uważa, że pełna merytoryczna kognicja sądów powszechnych dawałaby szerszy merytoryczny zakres kontroli. Nie wszyscy jednak są za odebraniem sądom administracyjnym spraw z zakresu RODO.
Zobacz procedurę w LEX: Nakładanie administracyjnych kar pieniężnych >
Zmiany może wymóc TSUE
Sylwester Szczepaniak z Instytutu Nauk Prawnych PAN, były radca ministra cyfryzacji, nie popiera wprowadzenie oddzielnych sądów czy przekazania kar z RODO do sądów cywilnych. Jego zdaniem należy poszukać wzrostu efektywności i rozwiązań w samej procedurze sądowoadministracyjnej.
Dr Arwid Mednis mówi, że nie upiera się przy tym, że ustawodawca powinien odebrać sądom administracyjnym kontrolę decyzji prezesa UODO. - Z pewnością jednak powinien się bliżej przyjrzeć sprawie, bo niemal całe RODO, a przynajmniej kwestia bezpieczeństwa danych opiera się na ocenie, a nie na konkretnych, określonych przez prawodawcę obowiązkach – tłumaczy.
Tyle, że zdaniem dr Macieja Kaweckiego, adwokata, dziekana Wyższej Szkoły Bankowej w Warszawie, współautora ustawy o ochronie danych osobowych, uzyskanie na to zgody politycznej jest bardzo mało prawdopodobne. - Procedura cywilna była rozważana, ale nie zyskała poparcia, i przypuszczam, że w najbliższych latach nie zyska – ocenia dr Kawecki. W 2018 roku podczas prac legislacyjnych nad nową ustawą o ochronie danych osobowych przeciwko objęciu spraw z RODO procedurą cywilną było Ministerstwo Sprawiedliwości.
Nieco inaczej na sprawę patrzy mec. Litwiński. – Obecne postępowanie odwoławcze od decyzji o nałożeniu kary może nie spełniać standardów przewidzianych w RODO, bo jest atrapą kontroli sądowej. Liczę więc, że któraś ze spraw trafi do Trybunału Sprawiedliwości Unii Europejskiej, a jego wyrok może zmusić ustawodawcę do zmian. W tej dotyczącej morele.net był wniosek o zadanie pytania prejudycjalnego, ale sąd go nie uwzględnił - przypomina mec. Litwiński.
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.