Właściwość, zadania i uprawnienia organu nadzorczego

Właściwość

Każdy organ nadzorczy jest właściwy do wypełniania zadań i wykonywania uprawnień powierzonych mu zgodnie z RODO na terytorium swojego państwa członkowskiego.

Jeżeli przetwarzania dokonują organy publiczne lub podmioty prywatne, a przetwarzanie to jest niezbędne do:

1.  wypełnienia obowiązku prawnego ciążącego na administratorze; lub
2. wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi,
   organem właściwym jest organ nadzorczy danego państwa członkowskiego. Jeżeli zachodzi tego typu okoliczność, zastosowanie ma ten przepis, nie zaś przepis o wyznaczaniu właściwości w oparciu o kryterium terytorium.

Rozporządzenie GDPR czyni ważne wyłączenie przedmiotowe w zakresie właściwości organów nadzorczych. Organy nadzorcze nie są właściwe do nadzorowania operacji przetwarzania dokonywanych przez sądy w ramach sprawowania przez nie wymiaru sprawiedliwości.

Właściwość wiodącego organu nadzorczego

Wiodący organ nadzorczy to organ nadzorczy właściwy względem transgranicznego przetwarzania, dokonywanego przez tego administratora lub procesora. Jest nim organ nadzorczy głównej lub pojedynczej jednostki organizacyjnej administratora lub procesora. Status ten daje organowi nadzorczemu szczególną pozycję w ramach mechanizmu współpracy.

Każdy organ nadzorczy jest właściwy do:

1.  rozpatrzenia skargi, którą do niego wniesiono; lub
2. zajęcia się ewentualnym naruszeniem rozporządzenia GDPR,

jeżeli sprawa:

1. dotyczy wyłącznie jednostki organizacyjnej w jego państwie członkowskim; lub
2. znacznie wpływa na osoby, których dane dotyczą, wyłącznie w jego państwie członkowskim.

W takich przypadkach organ nadzorczy niezwłocznie informuje o danej sprawie wiodący organ nadzorczy. W terminie trzech tygodni od otrzymania informacji wiodący organ nadzorczy postanawia czy zajmie się daną sprawą zgodnie z procedurą współpracy. Powinien on ją podjąć uwzględniając czy w państwie członkowskim, którego organ nadzorczy przekazał mu informacje, znajduje się jednostka organizacyjna administratora lub procesora.

Jeżeli wiodący organ nadzorczy:

1. postanowi zająć się daną sprawą, zastosowanie ma procedura współpracy. Organ nadzorczy, który przekazał informacje wiodącemu organowi nadzorczemu, może wtedy przedstawić projekt decyzji. Wiodący organ nadzorczy ma wtedy w jak największym stopniu uwzględnić ten projekt, przygotowując projekt decyzji;
2. postanowi nie zajmować się daną sprawą, sprawą zajmuje się organ nadzorczy, który przekazał informacje wiodącemu organowi nadzorczemu.

Administrator lub procesor komunikują się w sprawie dokonywanego przez nich transgranicznego przetwarzania jedynie z wiodącym organem nadzorczym.

Zadania organu nadzorczego

Każdy organ nadzorczy na swoim terytorium:

1.  monitoruje i egzekwuje stosowanie rozporządzenia GDPR;
2. upowszechnia w społeczeństwie wiedzę o ryzyku, przepisach, zabezpieczeniach i prawach związanych z przetwarzaniem oraz rozumienie tych zjawisk;
3. doradza zgodnie z prawem państwa członkowskiego:
   a) parlamentowi narodowemu;
   b) rządowi; oraz
   c) innym instytucjom i organomw sprawie:a) aktów prawnych; i
   b) administracyjnych środków ochrony praw i wolności osób fizycznych w związku z przetwarzaniem;
4. upowszechnia wśród administratorów i procesorów wiedzę o obowiązkach spoczywających na nich na mocy rozporządzenia GDPR;
5. udziela osobie, której dane dotyczą, informacji o wykonywaniu praw przysługujących jej na mocy rozporządzenia GDPR, a w stosownym przypadku współpracuje w tym celu z organami nadzorczymi innych państw członkowskich;
6. rozpatruje skargi wniesione przez osobę, której dane dotyczą, przez podmiot, organizację lub zrzeszenie;
7. w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań;
8. współpracuje z innymi organami nadzorczymi, w tym dzieli się informacjami oraz świadczy wzajemną pomoc, w celu zapewnienia spójnego stosowania i egzekwowania rozporządzenia GDPR;
9. prowadzi postępowania w sprawie stosowania rozporządzenia GDPR, w tym na podstawie informacji otrzymanych od innego organu nadzorczego lub innego organu publicznego;
10. monitoruje zmiany w stosownych dziedzinach, o ile zmiany te mają wpływ na ochronę danych osobowych, w szczególności monitoruje rozwój technologii informacyjno-komunikacyjnych i praktyk handlowych;
11. przyjmuje standardowe klauzule umowne;
12. ustanawia i prowadzi wykaz związany z wymogiem dokonania oceny skutków dla ochrony danych;
13. udziela zaleceń dotyczących operacji przetwarzania;
14. zachęca do sporządzania kodeksów postępowania, wydaje opinie na ich temat oraz zatwierdza te kodeksy, w których znajdują się odpowiednie zabezpieczenia;
15. zachęca do ustanawiania mechanizmów certyfikacji w dziedzinie ochrony danych oraz znaków jakości i oznaczeń z tej dziedziny, a także zatwierdza kryteria certyfikacji;
16. dokonuje okresowego przeglądu udzielonych certyfikacji;
17. opracowuje i publikuje kryteria akredytacji podmiotu monitorującego kodeksy postępowania oraz podmiotu certyfikującego;
18. akredytuje podmiot monitorujący kodeksy postępowania oraz podmiot certyfikujący;
19. wydaje zezwolenia na klauzule umowne i przepisy przy przekazywaniu z zastrzeżeniem odpowiednich zabezpieczeń;
20. zatwierdza wiążące reguły korporacyjne;
21. bierze udział w pracach Europejskiej Rady Ochrony Danych;
22. prowadzi wewnętrzny rejestr naruszeń rozporządzenia GDPR i operacji naprawczych, w przypadku naruszenia przepisów rozporządzenia GDPR, przez operacje przetwarzania; oraz
23. wypełnia inne zadania związane z ochroną danych osobowych.

Gotowy formularz skargi

Każdy organ nadzorczy ułatwia wnoszenie skarg za pomocą takich środków, jak gotowy formularz skargi, który można również wypełnić elektronicznie, co nie wyklucza innych sposobów komunikacji.

Bezpłatne działania organu

Każdy organ nadzorczy wypełnia bezpłatnie zadania na rzecz:

1. osoby, której dane dotyczą, i
2. gdy ma to zastosowanie – inspektora ochrony danych.

Możliwość pobrania opłaty lub odmowy przez organ

Jeżeli żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne, w szczególności ze względu na swą powtarzalność, organ nadzorczy może:

1.  pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych; lub
2. odmówić podjęcia żądanych działań.

Obowiązek wykazania, że żądanie jest w sposób oczywisty nieuzasadnione lub nadmierne spoczywa na organie nadzorczym.

Uprawnienia organu nadzorczego

Uprawnienia w zakresie prowadzonych postępowań

Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie prowadzonych postępowań:

1. nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań;
2. prowadzenie postępowań w formie audytów ochrony danych;
3. dokonywanie przeglądu udzielonych certyfikacji;
4. zawiadamianie administratora lub procesora o podejrzeniu naruszenia rozporządzenia GDPR;
5. uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań;
6. uzyskiwanie dostępu do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych, zgodnie z procedurami określonymi w prawie unijnym lub w prawie państwa członkowskiego.

Uprawnienia naprawcze

Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze:

1. wydawanie ostrzeżeń administratorowi lub podmiotowi przetwarzającemu dotyczących możliwości naruszenia przepisów niniejszego rozporządzenia poprzez planowane operacje przetwarzania;
2. udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania;
3. nakazanie administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia;
4. nakazanie administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu;
5. nakazanie administratorowi zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych;
6. wprowadzanie czasowego lub całkowitego ograniczenia przetwarzania, w tym zakazu przetwarzania;
7. nakazanie:
   a) sprostowania danych osobowych;
   b) usunięcia danych osobowych; lub
   c) ograniczenia przetwarzania danych osobowych,
   oraz nakazanie powiadomienia o tych czynnościach odbiorców, którym dane osobowe ujawniono;
8. cofnięcie certyfikacji lub nakazanie podmiotowi certyfikującemu cofnięcia certyfikacji, lub nakazanie podmiotowi certyfikującemu nieudzielania certyfikacji, jeżeli jej wymogi nie są spełnione lub przestały być spełniane;
9. zastosowanie, oprócz lub zamiast swoich uprawnień naprawczych, administracyjnej kary pieniężnej, zależnie od okoliczności konkretnej sprawy;
10. nakazanie zawieszenia przepływu danych do odbiorcy w państwie trzecim lub do organizacji międzynarodowej.

Uprawnienia w zakresie wydawania zezwoleń i uprawnienia doradcze

Każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie wydawania zezwoleń i uprawnienia doradcze:

1. udzielanie porad administratorowi zgodnie z procedurą uprzednich konsultacji;
2. wydawanie, z własnej inicjatywy lub na wniosek, opinii we wszelkich sprawach związanych z ochroną danych osobowych, przeznaczonych dla:
   a) parlamentu narodowego;
   b) rządu państwa członkowskiego; lub
   c) zgodnie z prawem państwa członkowskiego – innych instytucji i organów oraz ogółu społeczeństwa;
3. zezwalanie na przetwarzanie do celów wykonania zadania realizowanego w interesie publicznym, jeżeli prawo państwa członkowskiego wymaga takiego uprzedniego zezwolenia;
4. opiniowanie i zatwierdzanie projektów kodeksów postępowania;
5. akredytowanie podmiotów certyfikujących;
6. udzielanie certyfikacji i zatwierdzanie kryteriów certyfikacji;
7. przyjmowanie standardowych klauzul ochrony danych;
8. zezwalanie na klauzule umowne między administratorem lub podmiotem przetwarzającym a administratorem, podmiotem przetwarzającym lub odbiorcą danych osobowych w państwie trzecim lub organizacji międzynarodowej;
9. zezwalanie na uzgodnienia administracyjne między organami lub podmiotami publicznymi, w których przewidziane będą egzekwowalne i skuteczne prawa osób, których dane dotyczą;
10. zatwierdzanie wiążących reguł korporacyjnych.

Możliwość zwrócenia się do sądu przez organ nadzorczy

Prawo państwa przewiduje, że jego organ nadzorczy jest uprawniony:

1. do wniesienia do organów wymiaru sprawiedliwości sprawy dotyczącej naruszenia rozporządzenia GDPR; oraz
2. w stosownych przypadkach – do wszczęcia lub do uczestniczenia w inny sposób w postępowaniu sądowym w celu wyegzekwowania stosowania przepisów rozporządzenia GDPR.

Możliwość przyznania organowi nadzorczemu dodatkowych uprawnień przez państwo

Każde państwo członkowskie może przewidzieć w swoich przepisach, że jego organowi nadzorczemu, przysługują poza uprawnieniami określonymi w rozporządzeniu GDPR, także inne uprawnienia. Jednakże wykonywanie tych uprawnień, nie może utrudniać skutecznego stosowania przepisów rozdziału regulującego mechanizmy współpracy i spójności.

Środki ochronne wobec działań organu

Wykonywanie uprawnień powierzonych organowi nadzorczemu podlega odpowiednim zabezpieczeniom – w tym prawu do:

1. skutecznego środka ochrony prawnej przed sądem; i
2. rzetelnego procesu.

Uprawnienia te określają: prawo Unii, prawo państwa członkowskiego, zgodnie z Kartą praw podstawowych.

Sprawozdanie z działalności

Każdy organ nadzorczy sporządza roczne sprawozdanie ze swojej działalności, w którym może wyszczególnić rodzaje zgłoszonych mu naruszeń i zastosowanych uprawnień.

Sprawozdania te są przekazywane parlamentowi narodowemu, rządowi i innym organom wskazanym prawem państwa członkowskiego. Są one udostępniane opinii publicznej, Komisji oraz Europejskiej Radzie Ochrony Danych.