Rozmowa z EWĄ KULESZĄ, generalnym inspektorem ochrony danych osobowych
"Wprost": - Konwencja nr 108 Rady Europy chroni, obok danych osób fizycznych, czyli obywateli, także osoby prawne: spółki, stowarzyszenia itp. Dlaczego polska ustawa o ochronie danych osobowych ogranicza się tylko do osób fizycznych?
Ewa Kulesza: - Europejska konwencja ma bardzo ogólny charakter. Do tej pory niewiele państw zdecydowało się jednak pójść dalej i chronić dane firm. Takie rozwiązanie przyjęto na przykład w ustawodawstwie austriackim, ale to wyjątek. Myślę, że nie jesteśmy jeszcze przygotowani, aby postąpić podobnie, lecz nie wykluczam takiej możliwości w przyszłości. Ochrona danych firm to przecież często ochrona ich interesów.
- Kto poniesie koszty wprowadzenia nowej ustawy?
- Nie odnosi się ona do żadnych sytuacji makroekonomicznych. Nie ogranicza także działalności gospodarczej, bo daje możliwość pozyskiwania danych od osób trzecich, a zatem jest to furtka do przekazywania sobie baz danych przez podmioty gospodarcze. Ustawa po prostu te relacje cywilizuje. Nie ulega wątpliwości, że nałożenie dodatkowych obowiązków jest związane z dodatkowymi kosztami. Ale to jest wliczone w ryzyko gospodarcze.
- Czy można pogodzić z sobą dwie zasadnicze dla demokratycznego państwa wartości: prawo do ochrony danych osobowych, które są przecież dobrami osobistymi człowieka, i prawo do informacji?
- Myślę, że jednak można. Z konstytucji jasno wynika, do jakiej informacji kto ma prawo. Istnieje na przykład prawo do informacji o działaniach prowadzonych przez osoby pełniące funkcje publiczne. Nie dotyczy to życia prywatnego tych osób. Ochrona danych osobowych dotyczy zaś każdego obywatela w takim zakresie, w jakim jest on osobą prywatną i w jakim nie koliduje to z konstytucyjnym prawem dostępu do informacji.
- Ostatnio mieliśmy do czynienia z kilkoma skandalami związanymi z nielegalnym udostępnieniem danych osobowych. PZU przekazał swoje dane o klientach prywatnej firmie, z którą założył spółkę. Z kolei w styczniu tego roku "wyciekły" listy płac z Petrochemii Płock. Jak się zakończyły te sprawy?
- W sprawie PZU nie prowadziliśmy żadnych działań, bowiem wydarzyło się to jeszcze przed wejściem ustawy w życie. Natomiast wobec Petrochemii bez naszej inicjatywy postępowanie wszczęła prokuratura. Zawiadamiamy prokuraturę, gdy mamy bezpośredni kontakt ze sprawą. Tak było choćby w wypadku odnalezienia baz danych na wysypisku fabryki papieru w Konstancinie-Jeziornej. Niestety, obawiam się, że często będzie dochodziło do sytuacji, w której będziemy kierować sprawę do prokuratury, a ta nie rozpocznie postępowania lub będzie je umarzać, twierdząc, że nie zaistniała żadna szkoda. Wydaje mi się jednak, że wszyscy powinni zrozumieć, iż spraw ochrony danych nie należy lekceważyć.
- Czy pojawiła się już jakaś sprawa, która mogłaby się stać takim precedensem, sygnałem alarmowym?
- Tak. Wiąże się ona z udostępnieniem danych przez prezesa jednego z sądów rejonowych osobie nieupoważnionej. Informacje te dotyczyły osoby, wobec której nastąpiło zatarcie skazania. Niestety, gdy zawiadomiliśmy prokuraturę, ta nawet nie wszczęła postępowania w tej sprawie. Moim zdaniem, taka sytuacja jest bardzo niebezpieczna. Problem dostrzega bowiem obywatel, dostrzega go organ badający sprawę, a nie widzi go, niestety, prokuratura.
Ochrona danych osobowych dotyczy każdego obywatela w takim zakresie, w jakim jest on osobą prywatną
- Źle funkcjonująca prokuratura to osobny problem. Zdarza się jednak często, że uchwala się przepisy nie przystające do ustawy o ochronie danych osobowych.
- Mimo że ustawa obowiązuje już prawie od roku, nadal organy państwa wydają sprzeczne z nią akty normatywne. Tak było w wypadku przepisów wykonawczych do ustawy o organizacji ubezpieczeń. Przepisy te wykraczają daleko poza delegację ustawową, upoważniają do przetwarzania danych, które nie są ujęte w wykazie ustawowym. Jest to więc łamanie ustawy i konstytucji. Niestety, nie wszystkie akty normatywne są konsultowane z naszym urzędem. Dlatego później pojawiają się problemy.
- Czy ustawa o ochronie danych osobowych nie jest błędnie lub zbyt szeroko interpretowana? Na uczelniach nie wywiesza się list z wynikami pisemnych egzaminów, trudno zdobyć informacje o liście pasażerów samolotu, są kłopoty z drukowaniem książek telefonicznych, z niektórych domów zniknęły spisy lokatorów. Czy taka była intencja ustawodawcy?
- Przesada jest zawsze szkodliwa. Prawo wręcz nakazuje operatorom sieci wydawanie książek telefonicznych. Nazwisko i numer telefonu - oprócz zastrzeżonych - powinny się w książce znaleźć. Ustawa dość ostro sankcjonuje naruszenie przepisów w tym zakresie i być może dlatego niektórzy "dmuchają na zimne", obawiając się, że zostanie przeciw nim wykorzystany jakiś przepis karny. Ale z pewnością nie takie były intencje ustawodawcy. Nie może być na przykład tak, jak zdarzyło się niedawno, że odmówiono w instytucjach pomocy społecznej informacji o stanie zdrowia osoby, która ubiegała się o wsparcie. Powołano się przy tym właśnie na ustawę o ochronie danych osobowych. Tymczasem informacja o stanie zdrowia jest jedną z przesłanek upoważniających do ubiegania się o przyznanie pomocy.
- Czy konieczne są zmiany w ustawie o ochronie danych osobowych? Jakie regulacje chciałaby pani zmienić?
- Jeżeli nawet stwierdzę, że jakiś przepis jest niezgodny z ustawą, nie mam prawa wystąpić do Trybunału Konstytucyjnego o zbadanie konstytucyjności przepisu. Mogę co najwyżej prosić Naczelny Sąd Administracyjny lub rzecznika praw obywatelskich, żeby wystąpili z takim wnioskiem. Myślę, że generalny inspektor ochrony danych osobowych powinien mieć taki przywilej. W ustawie jest też kilka zbędnych, moim zdaniem, zapisów, na przykład o konieczności rejestracji publicznych zbiorów danych sporządzanych na podstawie przepisów prawnych. Ustawa zawiera wprawdzie wykaz podmiotów zwolnionych z obowiązku rejestracji takich zbiorów, lecz nie określa trybu wydawania decyzji o zwolnieniu z tego obowiązku innych podmiotów. Na przykład, czy jest sens zgłaszania do rejestracji książek meldunkowych prowadzonych przez osoby wynajmujące w sezonie turystycznym pokoje turystom. To samo dotyczy świetlic i bibliotek. Wcześniej czy później ustawę trzeba będzie znowelizować.
Ewa Kulesza: - Europejska konwencja ma bardzo ogólny charakter. Do tej pory niewiele państw zdecydowało się jednak pójść dalej i chronić dane firm. Takie rozwiązanie przyjęto na przykład w ustawodawstwie austriackim, ale to wyjątek. Myślę, że nie jesteśmy jeszcze przygotowani, aby postąpić podobnie, lecz nie wykluczam takiej możliwości w przyszłości. Ochrona danych firm to przecież często ochrona ich interesów.
- Kto poniesie koszty wprowadzenia nowej ustawy?
- Nie odnosi się ona do żadnych sytuacji makroekonomicznych. Nie ogranicza także działalności gospodarczej, bo daje możliwość pozyskiwania danych od osób trzecich, a zatem jest to furtka do przekazywania sobie baz danych przez podmioty gospodarcze. Ustawa po prostu te relacje cywilizuje. Nie ulega wątpliwości, że nałożenie dodatkowych obowiązków jest związane z dodatkowymi kosztami. Ale to jest wliczone w ryzyko gospodarcze.
- Czy można pogodzić z sobą dwie zasadnicze dla demokratycznego państwa wartości: prawo do ochrony danych osobowych, które są przecież dobrami osobistymi człowieka, i prawo do informacji?
- Myślę, że jednak można. Z konstytucji jasno wynika, do jakiej informacji kto ma prawo. Istnieje na przykład prawo do informacji o działaniach prowadzonych przez osoby pełniące funkcje publiczne. Nie dotyczy to życia prywatnego tych osób. Ochrona danych osobowych dotyczy zaś każdego obywatela w takim zakresie, w jakim jest on osobą prywatną i w jakim nie koliduje to z konstytucyjnym prawem dostępu do informacji.
- Ostatnio mieliśmy do czynienia z kilkoma skandalami związanymi z nielegalnym udostępnieniem danych osobowych. PZU przekazał swoje dane o klientach prywatnej firmie, z którą założył spółkę. Z kolei w styczniu tego roku "wyciekły" listy płac z Petrochemii Płock. Jak się zakończyły te sprawy?
- W sprawie PZU nie prowadziliśmy żadnych działań, bowiem wydarzyło się to jeszcze przed wejściem ustawy w życie. Natomiast wobec Petrochemii bez naszej inicjatywy postępowanie wszczęła prokuratura. Zawiadamiamy prokuraturę, gdy mamy bezpośredni kontakt ze sprawą. Tak było choćby w wypadku odnalezienia baz danych na wysypisku fabryki papieru w Konstancinie-Jeziornej. Niestety, obawiam się, że często będzie dochodziło do sytuacji, w której będziemy kierować sprawę do prokuratury, a ta nie rozpocznie postępowania lub będzie je umarzać, twierdząc, że nie zaistniała żadna szkoda. Wydaje mi się jednak, że wszyscy powinni zrozumieć, iż spraw ochrony danych nie należy lekceważyć.
- Czy pojawiła się już jakaś sprawa, która mogłaby się stać takim precedensem, sygnałem alarmowym?
- Tak. Wiąże się ona z udostępnieniem danych przez prezesa jednego z sądów rejonowych osobie nieupoważnionej. Informacje te dotyczyły osoby, wobec której nastąpiło zatarcie skazania. Niestety, gdy zawiadomiliśmy prokuraturę, ta nawet nie wszczęła postępowania w tej sprawie. Moim zdaniem, taka sytuacja jest bardzo niebezpieczna. Problem dostrzega bowiem obywatel, dostrzega go organ badający sprawę, a nie widzi go, niestety, prokuratura.
Ochrona danych osobowych dotyczy każdego obywatela w takim zakresie, w jakim jest on osobą prywatną
- Źle funkcjonująca prokuratura to osobny problem. Zdarza się jednak często, że uchwala się przepisy nie przystające do ustawy o ochronie danych osobowych.
- Mimo że ustawa obowiązuje już prawie od roku, nadal organy państwa wydają sprzeczne z nią akty normatywne. Tak było w wypadku przepisów wykonawczych do ustawy o organizacji ubezpieczeń. Przepisy te wykraczają daleko poza delegację ustawową, upoważniają do przetwarzania danych, które nie są ujęte w wykazie ustawowym. Jest to więc łamanie ustawy i konstytucji. Niestety, nie wszystkie akty normatywne są konsultowane z naszym urzędem. Dlatego później pojawiają się problemy.
- Czy ustawa o ochronie danych osobowych nie jest błędnie lub zbyt szeroko interpretowana? Na uczelniach nie wywiesza się list z wynikami pisemnych egzaminów, trudno zdobyć informacje o liście pasażerów samolotu, są kłopoty z drukowaniem książek telefonicznych, z niektórych domów zniknęły spisy lokatorów. Czy taka była intencja ustawodawcy?
- Przesada jest zawsze szkodliwa. Prawo wręcz nakazuje operatorom sieci wydawanie książek telefonicznych. Nazwisko i numer telefonu - oprócz zastrzeżonych - powinny się w książce znaleźć. Ustawa dość ostro sankcjonuje naruszenie przepisów w tym zakresie i być może dlatego niektórzy "dmuchają na zimne", obawiając się, że zostanie przeciw nim wykorzystany jakiś przepis karny. Ale z pewnością nie takie były intencje ustawodawcy. Nie może być na przykład tak, jak zdarzyło się niedawno, że odmówiono w instytucjach pomocy społecznej informacji o stanie zdrowia osoby, która ubiegała się o wsparcie. Powołano się przy tym właśnie na ustawę o ochronie danych osobowych. Tymczasem informacja o stanie zdrowia jest jedną z przesłanek upoważniających do ubiegania się o przyznanie pomocy.
- Czy konieczne są zmiany w ustawie o ochronie danych osobowych? Jakie regulacje chciałaby pani zmienić?
- Jeżeli nawet stwierdzę, że jakiś przepis jest niezgodny z ustawą, nie mam prawa wystąpić do Trybunału Konstytucyjnego o zbadanie konstytucyjności przepisu. Mogę co najwyżej prosić Naczelny Sąd Administracyjny lub rzecznika praw obywatelskich, żeby wystąpili z takim wnioskiem. Myślę, że generalny inspektor ochrony danych osobowych powinien mieć taki przywilej. W ustawie jest też kilka zbędnych, moim zdaniem, zapisów, na przykład o konieczności rejestracji publicznych zbiorów danych sporządzanych na podstawie przepisów prawnych. Ustawa zawiera wprawdzie wykaz podmiotów zwolnionych z obowiązku rejestracji takich zbiorów, lecz nie określa trybu wydawania decyzji o zwolnieniu z tego obowiązku innych podmiotów. Na przykład, czy jest sens zgłaszania do rejestracji książek meldunkowych prowadzonych przez osoby wynajmujące w sezonie turystycznym pokoje turystom. To samo dotyczy świetlic i bibliotek. Wcześniej czy później ustawę trzeba będzie znowelizować.
Więcej możesz przeczytać w 14/1999 wydaniu tygodnika Wprost .
Archiwalne wydania tygodnika Wprost dostępne są w specjalnej ofercie WPROST PREMIUM oraz we wszystkich e-kioskach i w aplikacjach mobilnych App Store i Google Play.