Kiedy w dniu 6 kwietnia 2018 r. został opublikowany mój artykuł: „Przetwarzanie danych osobowych przez adwokatów i radców prawnych w ramach wykonywania zawodu od dnia 25 maja 2018 r.” wierzyłem, że przed dniem 25 maja 2018 r. wejdzie w życie ustawa o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679.
W dniu 16 lipca 2018 r., kiedy został opublikowany mój artykuł „Przetwarzanie danych osobowych przez adwokatów i radców prawnych w ramach wykonywania zawodu a RODO” wiedziałem, że przyjdzie się nam zawodowym prawnikom mierzyć jeszcze przez wiele miesięcy z RODO bez odpowiednich zmian w ustawie o radcach prawnych i ustawie Prawo o adwokaturze.
W dniu 21 lutego 2019 r. Sejm uchwalił ustawę o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) i została ona przekazana do Senatu. W dniu 21 marca 2019 r. Senat nie wniósł poprawek.
Pytanie co się zmieni dla kancelarii adwokackich lub kancelarii radców prawnych od dnia wejścia w życie ww. ustawy.
Następujące przepisy RODO, tj.: art. 15 ust 1 i 3 (prawo dostępu przysługujące osobie, której dane dotyczą), art. 18 (prawo do ograniczenia przetwarzania) i art. 19 (obowiązek powiadomienia o sprostowaniu lub usunięciu danych osobowych lub o ograniczeniu przetwarzania) radcowie prawni i adwokaci będą stosować tylko w zakresie, w jakim nie naruszają obowiązku zachowania przez radcę prawnego/adwokata tajemnicy.
Zgodnie z projektem ustawy przepisu art. 21 ust 1 RODO (prawo do sprzeciwu), w przypadku danych osobowych pozyskanych przez radcę prawnego/adwokata w związku z udzielaniem pomocy prawnej nie będzie się stosowało.
Co do zasady poza powyższymi wyłączeniami, adwokaci i radcy prawni, będą musieli w pełni stosować przepisy RODO, np. art. 24 (obowiązki administratora), art. 25 (uwzględnienie ochrony danych w fazie projektowania oraz domyślna ochrona danych) art. 30 (rejestrowanie czynności przetwarzania) art. 32 (zapewnienie adekwatnego bezpieczeństwa przetwarzania).
No i pojawiają się pewne problemy i wątpliwości, ponieważ z obecnego projektu ustawy znikły przepisy:
- zgodnie z którymi adwokaci i radcy prawni mieli być administratorami danych osobowych przetwarzanych w celu realizacji zadań, obowiązków lub uprawnień wynikających z ustawy (odpowiednio Prawo o adwokaturze i ustawa o radcach prawnych) w ramach wykonywania zawodu.
- mówiące, że do przetwarzania danych osobowych w zakresie niezbędnym dla zapewnienia prawidłowej realizacji zadań, obowiązków i uprawnień przez adwokatów i radców prawnych w ramach wykonywania zawodu nie będzie się stosowało następujących przepisów RODO:
- art. 13 (obowiązek informacyjny w przypadku zbierania danych od osób, której dane dotyczą),
- art. 14 (obowiązek informacyjny w przypadku pozyskiwania danych osobowych, w inny sposób niż od osoby, której dane dotyczą),
- art. 16 (prawo do sprostowania danych), o ile przepisy szczególne będą przewidywały odrębny tryb sprostowania.
Może więc pojawić się np. konflikt pomiędzy obowiązkiem zachowania tajemnicy adwokacką/radcowską a obowiązkiem spełnienia obowiązku informacyjnego.
Adwokaci i radcy prawni będą zobowiązani przechowywać dane osobowe, przetwarzane w ramach wykonywania zawodu, przez okres 10 lat od końca roku, w którym zakończyło się postępowanie, w którym dane osobowe zostały zgromadzone – w przypadku danych osobowych przetwarzanych w ramach wykonywania zawodu przez radcę prawnego/adwokata.
Po upływie tego okresu, adwokaci i radcowie prawni będą zobowiązani dane osobowe usunąć.
Warto zauważyć, że obowiązek zachowania tajemnicy adwokackiej i tajemnicy radcowskiej, nie będzie ustawał w przypadku, gdy z żądaniem ujawnienia informacji uzyskanych przez adwokata lub radcę prawnego w związku z udzielaniem pomocy prawnej wystąpi Prezes Urzędu Ochrony Danych Osobowych.