Będą skargi na podstawie RODO. Przetwarzanie danych pod kontrolą

Nadchodzi RODO. Panoptykon jakoś specjalnie się do niego przygotowuje?

Tak, i to od dawna. Żeby RODO naprawdę mogło coś zmienić, musimy – z jednej strony – uświadomić ludziom, jakie mają prawa, a z drugiej – pokazać, jak z tych praw można sensownie korzystać. Dlatego mniej więcej od roku prowadzimy działania informacyjne, a od maja ruszymy z kampanią, nie tylko na poziomie krajowym, ale i europejskim. Od 25 maja będziemy też uważnie przyglądać się dobrym i złym praktykom, a w przypadku poważnych naruszeń prawa będziemy interweniować. Interwencje prawne w Panoptykonie to standardowe działanie, ale RODO daje silniejsze instrumenty, z których tym bardziej warto korzystać.

O jakie instrumenty chodzi?

Z jednej strony o skargi do Urzędu Ochrony Danych Osobowych, nareszcie wyposażonego w odpowiednie sankcje, z drugiej do sądu, przed którym będziemy mogli podnieść sam fakt naruszenia zasad ochrony danych osobowych, bez wchodzenia w ochronę dóbr osobistych czy wykazywanie szkody. Zamierzamy wykorzystywać obydwie drogi. Pierwsza może być bardziej dotkliwa dla naruszających, ze względu na wysokie kary finansowe, druga może być szybsza, choć to pewnie będzie zależeć od konkretnego sądu.
Pierwsza taka skarga, nie wiemy jeszcze czy do sądu, czy do prezesa UODO, prawdopodobnie pojawi się już pierwszego dnia stosowania RODO, żeby symbolicznie podkreślić ten moment. Oczywiście, tu nie chodzi o samo testowanie procedur, ale o reagowanie na najbardziej problematyczne praktyki, które realnie szkodzą ludziom i psują rynek. Mogę zapewnić, że po środki prawne będziemy sięgać jedynie w poważnych sprawach.

Macie kogoś konkretnego na celowniku?

Od dawna przyglądamy się działaniom państwa, które czasem za wszelką cenę dąży do pozyskiwania i integrowania danych, a nawet eksperymentuje z profilowaniem i przewidywaniem ludzkich zachowań. Uporczywie dokumentujemy i tropimy też działania komercyjnych brokerów danych, zaglądamy na zaplecze internetu. Mamy z czego wybierać. Ale nie chcę jeszcze zdradzać konkretów. W przypadku tej pierwszej skargi ważny będzie wymiar symboliczny, podkreślenie przełomu, jakim jest RODO dla obywateli, których prawa do tej pory były notorycznie i bezkarnie naruszane. Mam nadzieję, że dobrze nagłośniona skarga będzie miała wymiar edukacyjny – pokaże ludziom, jak sami mogą korzystać z nowych przepisów i przekona ich, że nie muszą być bierni; że mogą i powinni reagować, kiedy ktoś narusza ich prawa.

Wspomniała pani, że boi się przewlekłości postępowań przed UODO. Przecież, zgodnie z projektem ustawy o ochronie danych osobowych, ma ono trwać nie dłużej niż miesiąc.

Obawiam się, że praktyka będzie jednak inna. Dotrzymanie tak ambitnego terminu może się okazać niemożliwe dla jednego, stosunkowo niewielkiego urzędu, szczególnie w pierwszym roku stosowania RODO. Spodziewam się zalewu spraw i zapytań ze strony tysięcy podmiotów. Rozpoznawanie skarg to przecież niewielka tylko część działalności nowego urzędu. Będzie on zatwierdzał procesy obarczone ryzykiem, sprawdzał naruszenia zgłaszane przez samych administratorów czy wydawał certyfikaty.

Drugą opcją jest droga sądowa.

Tak, zgodnie z RODO nie musimy udowadniać ani szkody majątkowej, ani krzywdy, nie musimy także wnosić o odszkodowanie. Wystarczy wykazać, że doszło do naruszenia zasad ochrony danych osobowych. To ważne, szczególnie dla takich organizacji jak nasza, które nie działają dla zysku, a którym zależy na tym, żeby prawo było przestrzegane.
Droga sądowa daje szanse na stosunkowo szybkie stworzenie precedensów, które będą wpływały na późniejszą praktykę stosowania RODO. Co więcej w grę wchodzą różne jurysdykcje, więc może się okazać, że zamiast do polskich, będziemy kierować skargi do sądów w innych państwach. To możliwe, zwłaszcza, że Panoptykon nie działa sam, tylko w ramach europejskiej sieci European Digital Rights. Organizacje zrzeszone w naszej sieci są w stanie w skoordynowany sposób prowadzić sprawy w różnych państwach UE.

Indywidualnego obywatela najbardziej chyba jednak zainteresuje to, że tę drogę może wykorzystać do uzyskania wymiernego odszkodowania czy też zadośćuczynienia?

To prawda i to też jest kolejny przełom wynikający z RODO. Do tej pory bardzo trudno było wykazać realną szkodę, wynikającą z naruszenia zasad ochrony danych osobowych. Same dane i wszystko, co ich dotyczyło, były postrzegane jako dość abstrakcyjna materia. RODO stawia w centrum człowieka, nie jego dane, i daje każdemu prawo dochodzenia zadośćuczynienia za krzywdę wynikającą z samego faktu naruszenia prywatności (nawet jeśli nie pojawiła się szkoda majątkowa). Przy czym nie sądzę, żeby sądy, szczególnie polskie, były chętne do zasądzania bardzo wysokich kwot w ramach takiego zadośćuczynienia. Inna sprawa, że przetwarzanie danych osobowych z zasady odbywa się na dużą skalę – a więc nie mówimy o pojedynczych przypadkach, ale o tysiącach podobnych skarg.

Niejako w naturalny sposób Panoptykon może być postrzegany przez przedsiębiorców jako ich wróg. Zwłaszcza, gdy zacznie być stosowane RODO, które – co wynika choćby z tej rozmowy – może służyć skuteczniejszej egzekucji praw obywateli.

Mam nadzieję, że tak nie jest i nie będzie. Bardzo dużo czasu poświęcamy na dialog z przedsiębiorcami, tłumacząc, że RODO nie powinno być przez nich postrzegane jako zagrożenie, tylko wręcz jako narzędzie służące ich interesom. Mogą je wykorzystać do budowania relacji z klientami, zwiększania swojego bezpieczeństwa prawnego, a nawet cięcia kosztów. Wystarczy popatrzeć na ostatnią aferę wokół Facebooka. Firma straciła realne pieniądze nie dlatego, że została ukarana przez organ nadzorczy, ale dlatego, że dopuściła do praktyk, których ludzie nie akceptowali. Staramy się pokazywać, że wartości, o które walczymy, wcale nie są na kursie kolizyjnym z tym, do czego dążą odpowiedzialne firmy.

W trakcie konsultacji nad projektem ustawy o ochronie danych osobowych izby skupiające przedsiębiorców wyrażały jednak obawy przed wysypem quasiorganizacji, które wzorem łowców klauzul będą szantażować firmy dla osiągnięcia zysków.

W imieniu Panoptykonu mogę zapewnić, że tego rodzaju cyniczne wykorzystywanie przepisów jest nam całkowicie obce. Nie robimy takich rzeczy i nigdy nie będziemy ich robić. Trzeba odróżnić nieetyczne działanie dla zysku, od egzekwowania prawa przez organizacje społeczne. Naszym celem nie jest uzyskanie odszkodowania, które tak czy inaczej należałoby się osobie poszkodowanej, a nie nam, tylko ustalenie wysokich standardów ochrony praw człowieka. Nie robimy nikomu na złość, po prostu walczymy o to, żeby prawo chroniło ludzi i żeby nie pozostawało fikcją. Działamy w interesie obywateli i to oni, jeśli podzielają nasze wartości, mogą nas wspierać, choćby przekazując jeden procent swojego podatku. Takie wsparcie jest ważne, bo daje nam mocne argumenty w starciu z organami państwa i eksploatującym dane biznesem.