Do druku nr 1963 - opinia UODO

To pismo to oficjalna opinia Prezesa Urzędu Ochrony Danych Osobowych (UODO) do projektu zmiany ustawy o radcach prawnych, który przygotowała sejmowa Komisja Sprawiedliwości i Praw Człowieka. UODO nie jest autorem projektu - ocenia go z punktu widzenia ochrony danych osobowych i wskazuje kilka przepisów, które jego zdaniem są napisane zbyt ogólnie, ograniczają prawa osób, których dane przetwarza samorząd radców prawnych, i mogą być niezgodne z unijnymi przepisami o ochronie danych osobowych (RODO).

• Projekt pozwala Krajowej Izbie Radców Prawnych i izbom okręgowym odmówić informacji o tym, skąd wzięły czyjeś dane osobowe - bez wyjaśnienia, kiedy dokładnie taka odmowa byłaby uzasadniona.
• Obowiązek informowania ludzi o przetwarzaniu ich danych miałby być spełniony samą publikacją informacji w Biuletynie Informacji Publicznej, na stronie internetowej lub w siedzibie izby - bez gwarancji, że dana osoba dostanie te informacje bezpośrednio, gdy tego potrzebuje.
• Projekt z góry przesądza, który organ samorządu radców prawnych jest administratorem danych, zamiast pozwolić, by wynikało to z faktycznego zakresu zadań danego organu w konkretnej sprawie.
• Zasady przechowywania danych są niespójne - część okresów (10 i 15 lat) jest sztywno narzucona w przepisie, a w pozostałych przypadkach administrator sam decyduje, jak długo trzyma dane, bez jasnego wskazania, który z tych trybów obowiązuje w danej sytuacji i bez górnego limitu.
• Projekt dopuszcza zdalne posiedzenia i głosowania organów samorządu radców prawnych (np. przez wideokonferencję), ale nie określa żadnych zasad bezpieczeństwa - kto weryfikuje uczestników, czy posiedzenia są nagrywane i jak długo przechowuje się takie nagrania.

Pismo podpisał Mirosław Wróblewski, Prezes Urzędu Ochrony Danych Osobowych, w odpowiedzi na prośbę Kancelarii Sejmu o opinię do projektu przygotowanego przez sejmową Komisję Sprawiedliwości i Praw Człowieka.

Ten projekt dotyczy przede wszystkim radców prawnych i osób, które chcą nimi zostać, ale pośrednio też każdego, kto korzysta z pomocy radcy prawnego. Jeśli jesteś radcą prawnym - Twoje dane, w tym wrażliwe informacje o stanie zdrowia (np. przy ocenie, czy możesz nadal wykonywać zawód), mogłyby być przetwarzane przez izbę bez jasno opisanych zabezpieczeń, zwłaszcza podczas zdalnych posiedzeń organów samorządu. Jeśli dopiero starasz się o wpis na listę radców prawnych - zwraca się uwagę, że praktyka żądania od Ciebie oświadczenia o toczących się lub zakończonych postępowaniach karnych czy dyscyplinarnych nie ma wprost podstawy w tym projekcie ustawy, a mimo to jest stosowana - UODO uważa to za budzące wątpliwości konstytucyjne, bo może stygmatyzować osobę nawet w sytuacji, gdy postępowanie dawno się skończyło bez winy. Jeśli jesteś klientem radcy prawnego lub inną osobą, której dane przetwarza samorząd zawodowy - Twoje prawo do dowiedzenia się, skąd wzięto Twoje dane, mogłoby zostać ograniczone bez jasnych reguł, kiedy taka odmowa jest uzasadniona.

Cały ten dokument jest opinią eksperckiego organu nadzorczego - Prezesa UODO - wydaną na wyraźną prośbę Sejmu. UODO zaznacza, że nie ocenia projektu po raz pierwszy: już w 2024 r. zgłaszał bardzo podobne uwagi do wcześniejszej, zbliżonej treściowo wersji zmian w ustawie o radcach prawnych, przygotowanej wówczas przez Krajową Radę Radców Prawnych, ale te uwagi nie zostały uwzględnione. Do tego pisma nie dołączono stanowisk innych instytucji (np. Ministerstwa Sprawiedliwości czy samej Krajowej Rady Radców Prawnych) - to wyłącznie jednostronna ocena UODO.

To pismo jest opinią, a nie samą ustawą, więc nie zawiera Oceny Skutków Regulacji (OSR) ani szacunków kosztów - UODO ocenia wyłącznie zgodność projektu z przepisami o ochronie danych osobowych. Z treści opinii wynika, że jeśli Komisja nie doprecyzuje wskazanych przepisów, projekt może zostać uchwalony z regulacjami, które są zbyt ogólne (tzw. przepisy blankietowe) i pozostawiają zbyt dużą swobodę interpretacyjną samorządowi radców prawnych - to z kolei może prowadzić do sporów o to, czy dana osoba faktycznie ma prawo dostępu do swoich danych, jak długo mogą być one przechowywane i kto odpowiada za ich bezpieczeństwo podczas zdalnych posiedzeń. UODO zaleca też uzupełnienie uzasadnienia projektu i przeprowadzenie tzw. oceny skutków dla ochrony danych, czego - jak wskazuje - dotąd nie zrobiono.

Opinia powstała w toku prac Komisji Sprawiedliwości i Praw Człowieka nad komisyjnym projektem zmiany ustawy o radcach prawnych. UODO zwraca uwagę, że równolegle w tej samej komisji trwają prace nad podobnym projektem dotyczącym adwokatury, i proponuje skoordynowanie obu projektów tam, gdzie regulują zbliżone kwestie.