RODO: Koniec z szantażowaniem przedsiębiorców

Przyjęty we wtorek przez rząd projekt tzw. ustawy wdrażającej RODO przewiduje m.in. zmiany w Kodeksie karnym. Straszenie przedsiębiorców wysokimi karami i zawiadomieniem o naruszeniu przez nich przepisów, będzie przestępstwem. Będą także zmiany w prawie bankowym i ubezpieczeniowym oraz w blisko 170 innych ustawach.

Grożenie nie tylko postępowaniem karnym, ale także innym, w którym może zostać nałożona administracyjna kara pieniężna, będzie uznane za przestępstwo. Taką zmianę w Kodeksie karnym przewiduje projekt ustawy o zmianie niektórych ustaw w związku z zapewnieniem stosowania RODO, tzw. projekt ustawy wdrażającej. We wtorek przyjął go rząd. Teraz trafi do Sejmu.

Zmiany w Kodeksie karnym

– To odpowiedź na działania zmierzające do wykorzystania reformy ochrony danych osobowych, by wprowadzić administratorów danych w błąd – mówi Maciej Kawecki, dyrektor Departamentu Zarządzania Danymi, Koordynator reformy ochrony danych osobowych w Ministerstwo Cyfryzacji.- Pozwoli nam walczyć z tzw. szantażem na RODO – dodaje Kawecki. I podkreśla, że nie tylko przed 25 maja, ale również po tej dacie, odnotowano bardzo dużo przypadków wysyłania wiadomości z ofertą usług doradczych w obszarze ochrony danych osobowych z informacją, że odmowa skorzystania z nich skutkować może karą pieniężną. W odpowiedzi na to, w projekcie zaproponowano zmiany Kodeksu Karnego poprzez przesądzenie, że groźbą bezprawną jest nie tylko groźba spowodowania postępowania karnego, ale również innego postępowania, w którym może zostać nałożona administracyjna kara pieniężna.

Zgodnie z zaproponowanymi brzmieniem art. 115 § 12 Kodeksu Karnego groźby nie będzie stanowić zapowiedź spowodowania postępowania karnego lub innego postępowania, w którym może zostać nałożona administracyjna kara pieniężna, jeżeli ma ona jedynie na celu ochronę prawa naruszonego przestępstwem lub zachowaniem zagrożonym administracyjną karą pieniężną.

Profilowanie pod większym rygorem

Ponadto w projekcie znalazły się ważne zmiany dla sektora bankowego i ubezpieczeniowego dotyczące profilowania. Projektodawca zdecydował o wprowadzeniu przepisu, na podstawie którego zakłady ubezpieczeń będą mogły podejmować decyzje, które opierać się będą wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym profilowaniu, dotyczącym procesów oceny ryzyka przy zawieraniu umowy ubezpieczenia oraz likwidacji szkód. - Oznacza to, iż decyzja, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym profilowaniu, będzie mogła zostać podjęta bez zgody osoby, której dane dotyczą – tłumaczy Piotr Grabowski, inspektor ochrony danych osobowych w Concordia Ubezpieczenia. - W praktyce ten zapis oznacza zachowanie możliwości wykorzystania technologii i danych przy procesach zawierania ubezpieczeń i likwidacji szkód. W tej dziedzinie postęp technologiczny jest bardzo duży i będzie się pojawiać wiele zastosowań w związku z rozwojem np. machine learning - mówi.

Podobny przepis przewiduje nowelizacja Prawa bankowego. Z tym, że dla obu sektorów wprowadzono wymóg zapewnienia osobie fizycznej prawa do zakwestionowania takiej decyzji, wyrażenia własnego stanowiska w tej sprawie oraz do uzyskania interwencji pracownika. – To jest nowość – podkreśla Maciej Kawecki.

O ile bowiem zdaniem banków obecne przepisy dopuszczają już profilowanie, to jednak nie ma wymogów dotyczących informowania o nim klientów. - Warunkiem podejmowania przez banki czy ubezpieczycieli decyzji opierającej się na zuatomatyzowanym przetwarzaniu jest udzielnie osobie profilowanej wyjaśnień, możliwości zakwestionowania decyzji, przyjęcia procedur w tej sprawie – podkreśla Kawecki.

Czytaj:
Pacjent nie będzie musiał płacić za pierwszą kopię dokumentacji medycznej
Trzeba zdjąć wszystkie kamery w pomieszczeniach związków zawodowych >>
Regulacje o obowiązku informacyjnym i zastępcy IOD wśród zmian w związku z RODO >>

Ponadto projekt, nad którym Minisiterstwo Cyfryzacji pracuje już od ponad dwóch lat zawiera zmiany w innych przepisach sektorowych, które dostosowują polski porządek prawny do RODO, m.in. przez usunięcie przepisów, które są z nim sprzeczne lub które powielają zawarte w nim rozwiązania. Zgodnie z projektem, np. zamawiający nie będzie musiał informować każdej osoby fizycznej o tym w jakim celu i jak długo przetwarza jej dane. By skorzystać z prawa dostępu do swoich danych, czy ich sprostowania, będzie trzeba podać nazwę lub datę postępowania.

Sprawdź w LEX SIP jak wygląda kontrola UODO:

• Czynności kontrolne wykonywane przez kontrolujących z Urzędu Ochrony Danych Osobowych >>
• Postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych >>
• Ustalenie wyników w protokole kontroli przez kontrolujących z Urzędu Ochrony Danych Osobowych >>
• Działania pokontrolne podejmowane przez Prezesa Urzędu Ochrony Danych Osobowych >>