W trakcie 18 plenarnej sesji Europejskiej Rady Ochrony Danych (EROD), która obyła się 18 lutego 2020 r., przyjęto dokument stanowiący wkład EROD w sprawozdanie Komisji Europejskiej. Sprawozdanie to, zgodnie z art. 97 ust. 1 RODO, ma za zadanie pomóc Parlamentowi Europejskiemu i Radzie UE ocenić funkcjonowanie przepisów RODO w praktyce. Komisja Europejska przede wszystkim skupi się na ocenie przekazywania danych osobowych do państw trzecich oraz współpracy i spójności przy wykonywaniu zadań organów nadzorczych, tak jak wskazuje to art. 97 ust. 2 lit. a i b RODO.
Tytułowe opracowanie zawiera wiele ciekawych zestawień oraz informacji. Kluczową z nich jest przesłanie Europejskiej Rady Ochrony Danych dotyczące pozytywnej oceny stosowania przepisów RODO. Sukces tych przepisów polega na wzmocnieniu ochrony danych osobowych w kontekście praw podstawowych. Doprowadziły one do zharmonizowania różnych interpretacji w zakresie praw dotyczących ochrony danych. Co więcej EROD wskazuje, że wyraźnie wzrosła świadomość obywateli krajów europejskich w zakresie ich praw. Za to administratorzy danych i procesorzy mają możliwość korzystania z jednego „zestawu” przepisów. Zapewnia to większą stabilność prawa, przejrzystość uprawnień organów nadzorczych oraz ich możliwości w zakresie nakładania administracyjnych kar pieniężnych.
Europejska Rada Ochrony Danych wskazuję, że okres 20 miesięcy stosowania RODO jest przedwczesny do wysuwania argumentów zmierzających do zmian legislacyjnych obowiązującego rozporządzenia. Warto podkreślić, bardzo słuszne, wezwanie EROD skierowane do Komisji Europejskiej w zakresie zintensyfikowania wysiłku na rzecz przyjęcia rozporządzenia o prywatności i łączności elektronicznej (e-Privacy).
Wiodący organ nadzorczy.
Zgodnie z art. 56 ust. 1 RODO istniej możliwość wskazania wiodącego organu nadzorczego względem transgranicznego przetwarzania dokonywanego przez konkretnego administratora lub podmiot przetwarzający. Zasady współpracy między wiodącym organem nadzorczym a innymi organami nadzorczymi reguluje art. 60 RODO. W tym właśnie zakresie EROD zarejestrował, w okresie od 25.05.2018 r. do 31.12.2019 r., 807 spraw, których wpływ rozkłada się następująco (str. 8):
Zasoby ludzkie, techniczne i finansowe organów nadzorczych.
Kolejnym ciekawym elementem opracowania Europejskiej Rady Ochrony Danych jest wskazanie bardzo dokładnych statystyk dotyczących zasobów ludzkich, technicznych i finansowych poszczególnych organów nadzorczych. Jak widać z poniższego wykresu niemiecki oraz angielski organ nadzorczy bardzo mocno przodują w zakresie zatrudnienia nad resztą organów ochrony danych osobowych, a nasz krajowy organ wcale nie zatrudnia najmniej (str. 26):
oraz
W zakresie budżetów organów nadzorczych widać ogromną różnorodność. Niektóre mogą pochwalić się budżetami liczonymi w milionach euro, np. Niemcy (87 mln) czy też Włoski (30 mln). Natomiast, są organy nadzorcze plasujące się w środku stawki jak np. Czechy (około 7 mln euro) czy Dania (około 6 mln euro). Statystykę budżetową zamykają takie kraje jak Cypr czy Malta z budżetami w okolicach 0,5 mln euro.
Nasz krajowy organ nadzorczy na tle innych organów wypada jako solidny średniak, bo dysponuje w 2020 roku budżetem prawie 10 mln euro:
EROD zadał także organom nadzorczym pytanie jak one same oceniają posiadane zasoby ludzkie, finansowe oraz techniczne. Zdecydowana większość wskazała swoje zasoby jako nie wystarczające:
Jaki jest wpływ skarg do organów nadzorczych?
EROD podaje, że w okresie od 25.05.2018 r. do 30.11.2019 r. do organów nadzorczych wpłynęło około 275,557 skarg łącznie. Pierwszy wykres wskazuje te organy nadzorcze, które otrzymały powyżej 2 500 skarg. W tym zbiorze łeb w łeb idą organ Niemiecki (prawie 67 000 skarg) oraz Angielski (65 000 skarg), a gdzieś po środku widać Urząd Ochrony Danych Osobowych z wynikiem 12 500 skarg (str. 31):
oraz
Jak wygląda statystyka zgłaszania naruszeń ochrony danych osobowych?
W tej „dyscyplinie” nie mają sobie równych organy nadzorcze z Niemiec (45 000 zgłoszeń), Holandii (37 000 zgłoszeń) i Anglii (21 000 zgłoszeń) oraz co ciekawe Irlandii (9500 zgłoszeń). W tym samym okresie, a więc między 25.05.2018 r. a 30.11.2019 r., Urząd Ochrony Danych Osobowych otrzymał 7 957 zgłoszeń dotyczących naruszeń ochrony danych (str. 35):
Podsumowanie.
Podzielam ogólne podejście Europejskiej Rady Ochrony Danych co do oceny obowiązujących przepisów RODO. Na pewno 20 miesięcy stosowania przepisów RODO to zdecydowanie za krótki okres, aby podjąć prace zmieniające konkretne przepisy czy mechanizmy jego działania. Słusznie EROD widzi potrzebę podjęcia skutecznych i szybkich pracy zmierzających do uchwalenia Rozporządzeniem e-Privacy, które jest spóźnione względem RODO o ponad dwa lata. Należy też pamiętać o kolejnym ważnym wdrożeniu jakie czeka nas w 2022 roku, a będzie ono dotyczyło implementacji do przepisów krajowych założeń Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/770 z dnia 20 maja 2019 r. w sprawie niektórych aspektów umów o dostarczanie treści cyfrowych i usług cyfrowych. I jeśli te trzy elementy kiedyś się ziszczą to będziemy mogli powiedzieć, że temat ochrony danych osobowych został definitywnie uregulowany. Oby tak się stało.
