Ograniczenia w stosowaniu przepisów RODO w ustawie o ochronie danych osobowych.

Rozporządzenie ogólne o ochronie danych osobowych (dalej RODO), a konkretnie art. 23 zezwala państwom członkowskim na ograniczenie zakresu wybranych obowiązków i praw, jeżeli ograniczenie takie nie narusza istoty podstawowych praw i wolności, a także jest niezbędne i proporcjonalne w demokratycznym społeczeństwie.

Ograniczenia mogą być zastosowane w zakresie:

przejrzystego informowania i przejrzystej komunikacji oraz trybu wykonywania praw przez osobę, której dane dotyczą (art. 12 RODO),
informacji i dostępu do danych osobowych (art. 13, 14, 15 RODO),
sprostowania i usuwania danych (art. 16, 17, 18, 19, 20 RODO),
realizacji prawa do sprzeciwu oraz zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach (art. 21, 22 RODO),
zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych (art. 34 RODO),
zasad dotyczących przetwarzania danych osobowych (art. 5, 6, 7, 8, 9, 10, 11 RODO).

Prawo państwa członkowskiego może ograniczyć wspomniane wyżej zakresy praw i obowiązków aktem prawnym. Takim aktem prawnym jest ustawa o ochronie danych osobowych z dnia 10 maja 2018 roku (dalej UODO).

Ustawa wyłącza stosowanie niektórych przepisów RODO w odniesieniu do działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych, a także do wypowiedzi w ramach działalności literackiej lub artystycznej (art. 2 UODO).

Wyłączenia w tym zakresie obejmują:

konieczność przetwarzania danych osobowych zgodnie z zasadami, które ujęte zostały w rozdziale II RODO (za wyjątkiem przetwarzania danych osobowych dotyczących wyroków skazujących i czynów zabronionych),
konieczność realizacji obowiązków informacyjnych zarówno przy pozyskiwaniu danych osobowych bezpośrednio od osoby, której dane dotyczą, jak i pozyskiwaniu ich w sposób inny niż od osoby, której dane dotyczą,
konieczność realizacji praw: dostępu do informacji o przetwarzaniu, sprostowania danych, ograniczenia przetwarzania, przenoszenia danych, wyrażenia sprzeciwu, niepodlegania profilowaniu,
konieczność wyznaczenia przedstawiciela w przypadku nie posiadania jednostki organizacyjnej w Unii Europejskiej,
konieczność zawierania umów powierzenia przetwarzania danych osobowych,
konieczność rejestrowania czynności przetwarzania.

W kolejnym punkcie artykułu, ustawa wyłącza stosowanie niektórych przepisów RODO w odniesieniu do wypowiedzi akademickiej.

Wyłączenia obejmują:

konieczność realizacji obowiązku informacyjnego przy pozyskiwaniu danych osobowych bezpośrednio od osoby, której dane dotyczą,
konieczność realizacji prawa dostępu do informacji o przetwarzaniu, ale tylko w zakresie dostarczania kopii danych osobowych podlegających przetwarzaniu,
konieczność realizacji prawa do ograniczenia przetwarzania,
konieczność wyznaczenia przedstawiciela w przypadku nie posiadania jednostki organizacyjnej w Unii Europejskiej,
konieczność zawierania umów powierzenia przetwarzania danych osobowych,
konieczność rejestrowania czynności przetwarzania.

UODO przewiduje także wyłączenia stosowania wybranych przepisów dla Administratorów wykonujących zadania publiczne. Administratorzy ci nie będą musieli informować osób, których dane dotyczą o zmianie celu przetwarzania danych osobowych, jeżeli zmiana celu służy realizacji zadania publicznego. Kolejne wyłączenia obejmują przekazywanie informacji w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą, a także informacji przysługujących na mocy art. 15 RODO (prawo dostępu przysługujące osobie, której dane dotyczą).

Poniżej szczegółowy wyciąg z cytowanych przepisów ustawy o ochronie danych osobowych dotyczących Administratorów wykonujących zadania publiczne.

„Art. 3. 1. Administrator wykonujący zadanie publiczne nie przekazuje informacji, o których mowa w art. 13 ust. 3 rozporządzenia 2016/679, jeżeli zmiana celu przetwarzania służy realizacji zadania publicznego i niewykonanie obowiązku, o którym mowa w art. 13 ust. 3 rozporządzenia 2016/679, jest niezbędne dla realizacji celów, o których mowa w art. 23 ust. 1 tego rozporządzenia, oraz przekazanie tych informacji:

1) uniemożliwi lub znacząco utrudni prawidłowe wykonanie zadania publicznego, a interes lub podstawowe prawa lub wolności osoby, której dane dotyczą, nie są nadrzędne w stosunku do interesu wynikającego z realizacji tego zadania publicznego lub

2) naruszy ochronę informacji niejawnych.

W przypadku, o którym mowa w ust. 1, administrator zapewnia odpowiednie środki służące ochronie interesu lub podstawowych praw i wolności osoby, której dane dotyczą.
Administrator jest obowiązany poinformować osobę, której dane dotyczą, na jej wniosek, bez zbędnej zwłoki, nie później jednak niż w terminie miesiąca od dnia otrzymania wniosku, o podstawie nieprzekazania informacji, o których mowa w art. 13 ust. 3 rozporządzenia 2016/679.

Art. 4. 1. W zakresie nieuregulowanym w art. 14 ust. 5 rozporządzenia 2016/679 administrator wykonujący zadanie publiczne nie przekazuje informacji, o których mowa w art. 14 ust. 1, 2 i 4 rozporządzenia 2016/679, jeżeli służy to realizacji zadania publicznego i niewykonanie obowiązku, o którym mowa w art. 14 ust. 1, 2 i 4 rozporządzenia 2016/679, jest niezbędne dla realizacji celów, o których mowa w art. 23 ust. 1 tego rozporządzenia, oraz przekazanie tych informacji:

2) naruszy ochronę informacji niejawnych.

W przypadku, o którym mowa w ust. 1, administrator zapewnia odpowiednie środki służące ochronie interesu lub podstawowych praw i wolności osoby, której dane dotyczą.
Administrator jest obowiązany poinformować osobę, której dane dotyczą, na jej wniosek, bez zbędnej zwłoki, nie później jednak niż w terminie miesiąca od dnia otrzymania wniosku, o podstawie nieprzekazania informacji, o których mowa w art. 14 ust. 1, 2 i 4 rozporządzenia 2016/679.

Art. 5. 1. Administrator wykonujący zadanie publiczne nie przekazuje informacji, o których mowa w art. 15 ust. 1–3 rozporządzenia 2016/679, jeżeli służy to realizacji zadania publicznego i niewykonanie obowiązków, o których mowa w art. 15 ust. 1–3 rozporządzenia 2016/679, jest niezbędne dla realizacji celów, o których mowa w art. 23 ust. 1 tego roz-porządzenia, oraz wykonanie tych obowiązków:

2) naruszy ochronę informacji niejawnych.

W przypadku gdy wykonanie obowiązków, o których mowa w art. 15 ust. 1 i 3 rozporządzenia 2016/679, wymaga niewspółmiernie dużego wysiłku związanego z wyszukaniem danych osobowych, administrator wykonujący zadanie pub-liczne wzywa osobę, której dane dotyczą, do udzielenia informacji pozwalających na wyszukanie tych danych. Przepis art. 64 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257 oraz z 2018 r. poz. 149 i 650) stosuje się odpowiednio.
W przypadkach, o których mowa w ust. 1 i 2, administrator zapewnia odpowiednie środki służące ochronie interesu lub podstawowych praw i wolności osoby, której dane dotyczą.
Administrator jest obowiązany poinformować osobę, której dane dotyczą, na jej wniosek, bez zbędnej zwłoki, nie później jednak niż w terminie miesiąca od dnia otrzymania wniosku, o podstawie niewykonania obowiązków, o których mowa w art. 15 ust. 1–3 rozporządzenia 2016/679”.