Bezpieczeństwo danych osobowych

Prezentowana publikacja zawiera wyczerpujące omówienie problematyki bezpieczeństwa danych osobowych.
Autor prezentuje ewolucję ochrony dostępu do informacji w świetle dokumentów Rady Europy i Unii Europejskiej, a także rozwiązania obecnie obowiązujące w polskim prawie wewnętrznym, z uwzględnieniem konstytucyjnych zasad ochrony danych osobowych, orzecznictwa europejskiego i krajowego.

Autor przedstawia również ważne aspekty praktyczne ochrony informacji zarówno w Polsce, jak i w wybranych państwach, w tym najczęstsze nieprawidłowości w funkcjonowaniu systemu ochrony danych osobowych.

Publikacja adresowana jest do szerokiego kręgu odbiorców, a w szczególności do praktyków w dziedzinie bezpieczeństwa danych osobowych.

Dzieła z serii Zarys Prawa stanowią wnikliwe i wyczerpujące opracowanie poszczególnych zagadnień prawnych. Od komentarzy różni je przekrojowe ujęcie tematu. Mają charakter obszernego opracowania monograficznego, ale wskazują też praktyczne rozwiązania pojawiających się w trakcie wykładu problemów.

Wstęp:
Ustawa o ochronie danych osobowych z 29.8.1997 r. wprowadziła do polskiego systemu prawnego wiele nowych rozwiązań. Musimy przyznać, iż budzące wątpliwość przepisy w każdej sytuacji utrudniają odbiór społeczny przepisów prawa częstokroć prawnikom, a co dopiero przeciętnym obywatelom, którzy gubią się w gąszczu odniesień i interpretacji. Bardzo istotną kwestią jest także rozumienie rozwiązań prawnych w kwestii danych osobowych w przepisach europejskich.

W Konwencji Nr 198 z 28.1.1981 r. danymi osobowymi są informacje dotyczące konkretnej osoby lub takiej osoby, którą można zidentyfikować, a cechą wyróżniającą jest możliwość ustalenia tożsamości na podstawie dostarczonej informacji (tzw. identyfikowalność osoby). Jednak ta możliwość jest ograniczona nakładem środków, których należy użyć, aby osobę zidentyfikować. Przy dużych nakładach sił i środków prawdopodobieństwo zidentyfikowania osoby wzrasta, co powoduje zbytnie rozszerzenie granic ochrony, co z kolei nie jest wskazane. Dlatego też przyjęto, że osoba fizyczna nie może zostać uznana za identyfikowalną, jeżeli ustalenie jej tożsamości wymagałoby nieproporcjonalnie dużo czasu, kosztów. i działań. Obecnie kryterium kosztów, jako tego służącego do zidentyfikowania jednostki, przestaje mieć uznanie. W opracowywanych dokumentach Rady Europy przyjmuje się, że brak jest obiektywnego wskaźnika, na podstawie którego można by określić, czy koszty są proporcjonalne do efektów działań. Zarówno Dyrektywa 95/46 WE, jak i Konwencja, gwarantują, ‚iż państwa członkowskie Unii zapewniają ochronę podstawowych praw i wolności osób fizycznych, szczególnie ich prawo do prywatności wobec przetwarzania danych o charakterze osobowym’. Konwencja przewiduje jednak możliwość rozszerzenia ochrony na dane dotyczące ugrupowań, stowarzyszeń, fundacji, spółek, korporacji i innych organizacji skupiających bezpośrednio lub pośrednio osoby fizyczne, ale co warto zauważyć, posiadanie osobowości prawnej nie ma tutaj znaczenia – co może zostać w naszym ustawodawstwie uznane za co najmniej kontrowersyjny pomysł (na ten temat będę wypowiadał się w dalszej części opracowania).

Bardzo istotną informacją jest fakt, iż legislatorzy europejscy pragnęli odnosić przepisy Konwencji nie tylko do zbiorów danych, ale także do informacji o charakterze osobowym, które są przedmiotem przetwarzania ‚zautomatyzowanego’. Generalnie rzecz ujmując, to od tego zautomatyzowanego przetwarzania zrodziły się obawy o zakres dopuszczalności ingerencji w takie dobra osobiste jak dane osobowe. Konwencja przez zautomatyzowane przetwarzanie rozumie ‚…operacje wykonywane w całości lub części przy pomocy procedur zautomatyzowanych: rejestracja danych, zastosowanie do tych danych operacji logicznych i/lub arytmetycznych, ich modyfikacja, usuwanie, wyprowadzanie lub rozpowszechnianie. Dyrektywa mówi już o operacji lub zespole operacji wykonanych z pomocą lub bez pomocy procedur automatycznych (odnosi się więc także do przetwarzania ręcznego) zastosowanych wobec danych o charakterze osobowym. Dotyczy zatem gromadzenia, rejestracji, zorganizowania, przechowywania, adaptacji, zmiany, wyprowadzania, zapoznawania, używania, komunikowania przez transmisję, rozpowszechniania lub jakiejkolwiek formy przekazania, łączenia, blokowania, wymazania lub niszczenia.

Chciałbym w tym miejscu złożyć podziękowania Generalnemu Inspektorowi Danych Osobowych za zgodę na wykorzystanie części materiałów pochodzących ze strony internetowej urzędu. Chciałbym też zaznaczyć, iż badania, które zaowocowały powstaniem tej książki prowadzone były przez osiem lat pracy praktycznej na stanowiskach związanych z ochroną informacji. Za każdym jednak razem zadania stawiane przez życie okazywały się nieść nowe wyzwania, a tym samym i dostarczały nowych doświadczeń związanych z praktycznym ujmowaniem problematyki bezpieczeństwa danych osobowych.

Chciałbym, aby ta praca stanowiła kolejny krok w poznaniu problematyki bezpieczeństwa informacji, dając tym samym możliwość rozwoju tej jakże ciekawej dziedziny prawa. Wybór orzecznictwa mający stanowić wsparcie oraz zamieszczone akty prawne stanowią jedynie wycinek bogatych już nawet w Polsce badań nad danymi osobowymi. Niezliczone komentarze, orzeczenia, wreszcie powstające monografie pokazują, w jak różny sposób można postrzegać tę problematykę. Mam nadzieję, że pozycja ta wzbogaci tę już i tak długą listę, stanowiąc cenne źródło dla odbiorców tak komentarzy, poglądów, jak i praktyków w tej dziedzinie.

Mariusz Polok