Написа гневно писмо до председателя на Върховния административен съд
Ръководителят на полската Служба за защита на личните данни (UODO) Ян Новак е изпратил гневно писмо до председателя на Върховния административен съд, стана известно днес. В сайта на UODO пише:
На 9 февруари 2023 г. Върховният административен съд издаде решение (референтен номер на делото III OSK 3945/21), с което отмени обжалваното решение на Войводския административен съд във Варшава от 3 септември 2020 г. (референтен номер на делото II SA/ Wa 2559/ 19) и решението на председателя на Службата за защита на личните данни от 10 септември 2019 г. за налагане на глоба във връзка с изтичане на лични данни на над 2 200 000 потребители на онлайн магазините на компанията. Тази присъда е окончателна.
В писмо, адресирано до председателя на Върховния административен съд, председателят на UODO изразява дълбока загриженост от опасната посока, в която върви тълкуването на правомощията и системното положение на надзорния орган от страна на Върховния административен съд в светлината на правата на лица, чиито лични данни са били нарушени.
Според председателя на UODO Върховният административен съд поставя под съмнение независимостта на надзорния орган, както и уронва неговите компетенции и високата квалификация на неговите служители, необходима за изпълнение на задачите, за които този орган е назначен.
Става въпрос за решението на Върховния административен съд за глобата, наложена от Службата за защита на личните данни на Morele.net. Решението ясно показва, че причината за отмяната на решението на председателя на UODO по случая Morele.net е отхвърлянето от страна на органа на искането за снемане на доказателства от експертно заключение в контекста на техническите и организационни стандарти, прилагани от компанията.
Служителите на UODO имат дългогодишен, често над двадесетгодишен опит в контрола и воденето на производства срещу лица, обработващи лични данни. През този период се създават уникалните институционални знания на органа, на които се основават всички негови служители и които гарантират наличието на специализирани познания, позволяващи независима оценка на използването на технически и организационни мерки в ИТ системите, без да е необходимо да се използват помощта на експерт. Освен това, противно на твърденията на Върховния административен съд, оценката на UODO за използването на технически и организационни мерки по GDPR не е нещо ново.
Нека припомним, че през 2019 г. UODO наложи глоба от над 2,8 милиона PLN на Morele.net. По мнение на Службата приложените от дружеството организационни и технически мерки не са били подходящи за съществуващия риск, свързан с обработката им, в резултат на което данните за приблизително 2 млн. 200 хил. души попаднаха в неподходящи ръце. При налагането на наказанието надзорният орган е посочил, че нарушението в случая е с голямо значение и сериозен характер и засяга голям брой лица.
С решението си Върховният административен съд пренебрегва правата на над 2 милиона 200 хиляди потребители, чиито лични данни са били нарушени в резултат на дейността на компанията и които също могат да претърпят тежки последици, свързани с получаване на неоторизиран достъп до техните данни. По мнението на UODO правата на субектите на данни трябва да бъдат важна ценност в разглеждания случай, особено след като органът подчерта, че във фактите по случая рискът се отнася до заплахата от използване на метод, наречен фишинг, насочен към extorting data, напр. към банкова сметка чрез представяне на компанията в SMS съобщения и използване на факта, че клиентът е направил поръчката.
Също така си струва да припомним, че през 2020 г. Wojewódzki Sąd Administracyjny във Варшава отхвърли жалбата на Morele.net и установи, че решението за глоба на компанията е оправдано. Окръжният административен съд споделя позицията на надзорния орган, че приложените от дружеството технически и организационни мерки са се оказали неефективни за защита на личните данни на клиентите.
Възприемането на позицията на Върховния административен съд, изразена в изложеното по-горе решение, поставяща под въпрос компетенциите на UODO и накърняваща независимостта му, като правилна, на практика би означавало възпрепятстване на органа да функционира независимо и да урежда въпроси в областта на защитата на личните данни в ИТ системите, използвани за обработка на данни и би довело до лишаване от ефективна защита на правата на лицата, чиито данни се обработват, гарантирана от разпоредбите на Договора за функционирането на Европейския съюз, Хартата на основните права на Европейския съюз и GDPR.
На 20.09.2019 г. писах за случая: Нова глоба за нарушаване на защитата на личните данни в Полша