Rodo - terminy załatwiania spraw

RODO. Terminy załatwiania spraw przez administratora danych osobowych

Terminy załatwiania spraw przez administratora danych osobowych reguluje „Rozporządzenie Parlamentu Europejskiego i Rady UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych” z 27 kwietnia 2016 roku. (Nr Ustawy: UE 2016/679), które weszło weszło w życie 25 maja 2018 roku, a w przypadku Kościoła Katolickiego i danych administrowanych przez kościelne osoby prawne, reguluje „Dekret ogólny w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w Kościele”, wydany przez Konferencję Episkopatu Polski w dniu 13 marca 2018 roku.

Terminy załatwienia spraw według Dekretu KEP z 13 marca 2018 roku
Terminy załatwiania spraw przez kościelnego administratora danych osobowych według Dekretu KEP wynikają z prawa kanonicznego oraz z postanowień samego Dekretu, który precyzuje ogólne zasady zapisane w Kodeksie Prawa Kanonicznego z 1983 roku oraz uaktualnia przepisy kościelnego prawa partykularnego. Kodeks Prawa Kanonicznego (KPK) z reguły nie określa dokładnie terminów, w których administrator ma dokonać czynności prawnych. Stąd należy przyjąć ogólną zasadę kodeksową, iż załatwianie spraw, których termin nie został szczegółowo określony, musi nastąpić w terminie do 3 miesięcy od daty wpłynięcia pisma (zob. kan. 57 KPK).
Natomiast „Dekret ogólny KEP w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w Kościele” ustanawia przepisy szczegółowe. I tak w przypadku prawa do informacji o przetwarzaniu danych (art. 11), czyli żądania informacji o przetwarzaniu danych, nie ma szczegółowego uregulowania, stąd z zasady ogólnej termin wynosi 3 miesiące. W przypadku żądania informacji o zabezpieczeniach, gdy dane są przekazywane do publicznej kościelnej osoby prawnej, mającej siedzibę poza terytorium RP, jest także brak szczegółowego uregulowania, stąd z przepisów ogólnych termin wynosi 3 miesiące. Jeśli chodzi o prośbę dostarczenia kopii danych podlegających przetwarzaniu, także brak szczegółowego uregulowania, czyli termin wynosi 3 miesiące. W wypadku prośby o wydanie certyfikatów, wyciągów, świadectw, w postaci kopii lub dokumentu autentycznego, termin załatwienia spraw również wynosi 3 miesiące.
Z kolei art. 12 Dekretu reguluje prawo do sprostowania danych osobowych. W myśl powyższego rozporządzenia sprostowanie danych ma ma nastąpić niezwłocznie. Następnie o informacji zwrotnej o przeprowadzonej procedurze sprostowania danych lub odmowie sprostowania z jakiegoś powodu nie ma w Dekrecie szczegółowego uregulowania, stąd z ogólnej zasady prawnej musi to nastąpić w terminie 3 miesięcy.
Art. 13 Dekretu reguluje następnie prawo dokonania adnotacji i uzupełnienia danych osobowych. I tak Dekret nie podaje terminu dokonania adnotacji czy uzupełnienia danych osobowych, dlatego przyjmujemy prany okres 3 miesięcy. A w przypadku prośby o usunięcie danych osobowych w myśl art. 14 Dekretu KEP, usunięcie musi nastąpić „bez zbędnej zwłoki”. A jeśli nastąpi odmowa usunięcia danych osobowych, Dekret nie podaje terminu i przyjmuje znów 3 miesiące. W przypadku żądania ograniczenia przetwarzania danych (art. 15), nie mamy też szczegółowego rozwiązania i podania terminu, ale powinno być to zrobione niezwłocznie.

Terminy załatwienia spraw według RODO z 27 kwietnia 2016 roku
„Rozporządzenie Parlamentu Europejskiego i Rady UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych” z dnia 27 kwietnia 2016 r. reguluje najpierw prawo do informacji o przetwarzaniu danych osobowych w art. 15. Samo żądanie informacji o przetwarzaniu danych musi nastąpić „bez zbędnej zwłoki, nie dłużej niż w ciągu” od otrzymania prośby. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. Jednak wówczas w terminie miesiąca od otrzymania prośby administrator musi poinformować osobę, której dane dotyczą o przedłużeniu terminu, i jednocześnie podać przyczyny opóźnienia. Jeżeli administrator nie podejmuje działań w związku z żądaniem osoby, której dane dotyczą, to niezwłocznie - najpóźniej w terminie miesiąca od otrzymania żądania – musi poinformować osobę, której dane dotyczą, o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem.
W przypadku prośby informacji o zabezpieczeniach danych osobowych, gdy dane są przekazywane do odbiorców w państwach trzecich lub organizacjach międzynarodowych, musi to nastąpić „bez zbędnej zwłoki, nie dłużej niż w ciągu miesiąca od otrzymania żądania”. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań, jednak wówczas w terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Jeżeli administrator nie podejmuje działań w prośbą osoby, której dane dotyczą, to podejmuje działania jak powyższym przypadku dt. przetwarzania danych osobowych.

ks. Zbigniew Cieślak