Apel Polskiej Rady Biznesu i Fundacji Panoptykon dotyczący prac nad ustawą o ochronie danych osobowych do ministra cyfryzacji i ministra przedsiębiorczości i technologii

Fundacja Panoptykon i Polska Rada Biznesu są zaniepokojone kierunkiem prac nad projektem ustawy o ochronie danych osobowych z 14 września 2017 r. Z materiałów opublikowanych w BIP Kancelarii Premiera po uzgodnieniach międzyresortowych wynika, że Ministerstwo Cyfryzacji, częściowo uwzględniając uwagi zgłoszone przez Ministerstwo Rozwoju, przewiduje wyłączenie niektórych obowiązków administratorów danych dla firm zatrudniających mniej niż 250 pracowników, które nie przetwarzają danych wrażliwych i nie przekazują danych osobowych podmiotom trzecim.

Największe wątpliwości wzbudza zwolnienie firm z obowiązku informacyjnego przy pobieraniu danych niezbędnych do realizacji umowy. Obawiamy się, że ograniczenie informacji przekazywanych klientom w związku z przetwarzaniem ich danych osobowych nie przełoży się na realne korzyści po stronie firm, jednocześnie powodując niepotrzebne komplikacje w stosowaniu nowych standardów prawnych i spadek zaufania w relacjach z klientami.

Z blankietowym wyłączeniem obowiązku informacyjnego dla szerokiej kategorii przedsiębiorców wiążą się następujące problemy:

• obniżenie standardu funkcjonującego w Polsce od dwudziestu lat

Do tej pory każda firma działająca zgodnie z polskim prawem musiała informować swoich klientów o tym, w jakim celu zbiera ich dane oraz o tym, kto jest ich administratorem. Procedura realizująca ten obowiązek stała się rynkowym standardem i ważnym narzędziem budowania zaufania w relacji z klientami.

• obniżenie zaufania klientów do małych i średnich przedsiębiorstw

Obowiązywać zaczęłyby podwójne standardy na rynku i w efekcie podniosłoby to ryzyko prawne związane z działalnością małych i średnich firm.

• brak realnych oszczędności po stronie firm

Obowiązek informowania klientów nie wymaga dodatkowych nakładów. W praktyce sprowadza się on do zaprojektowania standardowych klauzuli zawartych w umowach i formularzach kontaktowych, które tak czy inaczej trafiają do klienta.

• naruszenie prawa Unii Europejskiej (naruszenie zasady proporcjonalności)

W toku prac nad rozporządzeniem o ochronie danych osobowych (RODO) ustawodawca unijny doszedł do wniosku, że liczba zatrudnianych pracowników nie jest odpowiednią podstawą dla projektowania wyjątków od ogólnych reguł ochrony danych osobowych, ponieważ w żaden sposób nie przekłada się na ilość przetwarzanych przez przedsiębiorstwo danych ani na ryzyko, które taka działalność generuje. Przyjęcie takiego kryterium w polskiej ustawie nie zyska aprobaty Komisji Europejskiej i rozpęta kolejny, niepotrzebny spór o charakterze politycznym.

Jesteśmy przekonani, że potrzeba wprowadzenia taryfy ulgowej dla firm zatrudniających mniej niż 250 osób może i powinna być realizowana w inny sposób niż poprzez uchylenie obowiązku informacyjnego przy pobieraniu danych niezbędnych do realizacji umowy.

Proponujemy następujące rozwiązania:

1. Zidentyfikowanie (np. w procesie otwartych konsultacji społecznych) rzeczywistych trudności, z jakimi małe i średnie przedsiębiorstwa będą musiały się zmierzyć w procesie dostosowania do RODO. Dla wielu firm kosztowne i trudne może okazać się np. rzetelne przeprowadzenie pełnego procesu oceny ryzyka, odpowiednie zabezpieczenie systemów informatycznych czy konieczność uwzględnienia standardów ochrony prywatności w fazie projektowania.

2. Stworzenie realnego pola do działań wspierających małe i średnie przedsiębiorstwa – od kampanii informacyjnych po tworzenie praktycznych narzędzi (np. darmowych aplikacji ułatwiających przeprowadzenie oceny ryzyka) – które mogłyby być realizowane w modelu partnerstwa publiczno-prywatnego.

3. Wypracowanie dobrych praktyk, które będą realizowały obowiązki informacyjne w sposób przyjazny dla firm i ich klientów.