Strona główna » Sektor publiczny » Organizacja » RODO 2018 » Czy organ publiczny podczas rozpatrywania żądania usunięcia danych lub sprzeciwu wobec przetwarzania, powinien prowadzić postępowanie administracyjne?

Czy organ publiczny podczas rozpatrywania żądania usunięcia danych lub sprzeciwu wobec przetwarzania, powinien prowadzić postępowanie administracyjne?

08 lutego 2019, 09:14

Ministerstwo Cyfryzacji opublikowało poradnik: RODO dla administracji zawierający 27 zagadnień. Publikujemy odpowiedź na pytanie:Czy organ publiczny, realizując prawa osoby, której dane dotyczą, o których mowa w art. 16 – 22 RODO, np. podczas rozpatrywania żądania usunięcia danych lub sprzeciwu wobec przetwarzania, powinien prowadzić postępowanie administracyjne zgodnie z Kodeksem postępowania administracyjnego i kończyć sprawę decyzją administracyjną, jednocześnie wykonując w trakcie tego postępowania obowiązki określone w KPA (m.in. zawiadamianie strony o przysługujących uprawnieniach, o zebraniu materiału dowodowego, o możliwości zapoznania się z aktami sprawy przed wydaniem decyzji)?

Realizując prawa osoby, której dane dotyczą w zakresie art. 16 – 22 RODO organ publiczny nie ma obowiązku prowadzić postępowania administracyjnego zgodnie z KPA, gdyż instrukcje co do sposobu realizacji tych praw są zawarte w samym RODO w motywie 59, jak również w art.12.Przepisy te wyraźnie wskazują na ułatwienie procedury realizacji praw osób, których dane dotyczą. W art. 5 ust. 2 zdanie drugie ustawy o ochronie danych osobowych, który dotyczy ograniczenia stosowania art. 15 ust. 1-3 RODO, mowa jest wyłącznie o odpowiednim stosowaniu art. 64 Kodeksu postępowania administracyjnego. Administrator danych ma obowiązek zapewnić pełną rozliczalność przetwarzanych danych, czyli dokładnie wiedzieć kto i kiedy wykonuje operacje na danych osobowych oraz jakiego rodzaju są to operacje. Usunięcie danych na wniosek osoby, której dane dotyczą, sprostowanie tych danych, czy też ograniczenie ich przetwarzania z jednej strony wymaga potwierdzenia tożsamości tej osoby, z drugiej potwierdzenia rozliczalności działań podejmowanych przez umocowany do tego personel administratora.

Zobacz: RODO 2018

Dlatego, w pierwszej kolejności należy wykazać się takim żądaniem od osoby, której dane dotyczą. Mimo, że przepisy wprost nie mówią w jakiej postaci powinien być złożony wniosek o usunięcie, sprostowanie czy ograniczenie przetwarzania danych, należałoby wewnętrznie ustalić taką procedurę składania tego typu wniosków, aby można było do nich się odnieść np. podczas kontroli (czyli nie mogę powiedzieć, że ktoś mnie o to poprosił telefonicznie, czy nawet osobiście) oraz, aby można było zweryfikować tożsamość tej osoby. Może to być np. e-mail, ale podpisany podpisem kwalifikowanym, chyba, że korespondencja do tej pory odbywała się wyłącznie mailowo z konkretnego, znanego obu stronom adresu. Mogą to również być wszelkie formy składania podań, które są znane z KPA itp. Ważne jednak jest to, aby nie utrudniać składania wniosków. Również forma odpowiedzi powinna być dostosowana do rodzaju i wagi wniosku. Inaczej rozpatrzymy wniosek o usunięcie adresu mailowego z bazy newslettera, a inaczej rozpatrzymy wniosek o usunięcie danych osoby np. w sprawie związanej z zadłużeniem.

Źródło: Ministerstwo Cyfryzacji