Prawne aspekty przechowywania i ochrony informacji w środowisku mediów cyfrowych
| Nauka | 2010-08-04
Streszczenie:
Publikacja zawiera uwagi na temat europejskiej struktury służącej ochronie prywatności i przetwarzania danych osobowych, a w szczególności koncentruje się na zasadach mających zastosowanie wobec nowych form mediów cyfrowych. Ochrona danych osobowych to szczególny obszar w większym systemie zabezpieczeń podstawowych praw i wolności obywateli europejskich. W tym kontekście autor omawia zadania i uprawnienia Europejskiego Inspektora Ochrony Danych Osobowych oraz obecny stan rzeczy w tej dziedzinie. Na zakończenie analizuje kilka poglądów na temat głównych wyzwań w sferze bezpieczeństwa obywatelskiego, jakie czekają Europę w przyszłości.
Legal aspects of personal data storage and protection in the digital media
abstract:
We live in a society of risk. Economic well-being and social development are leading modern societies to be less prepared to accept risks and uncertainty. New threats such as terrorism, cyber-crime or environmental catastrophes have been added to more traditional threats such as disease or crime. Information technology provides means, methods and techniques that facilitate the task of subjects, whether public or private, who provide security services. However, it is a highly invasive technology that jeopardises the right to private life and the protection of citizens´ data, and it requires that assessments be made and that decisions be taken to establish a balance in the conflict between privacy and security. The author analyses the supervision over ensuring the compliance of data processing with the provisions on the protection of personal data by the European Inspector General for Personal Data Protection.
Publikacja zawiera uwagi na temat europejskiej struktury służącej ochronie prywatności i przetwarzania danych osobowych, a w szczególności koncentruje się na zasadach mających zastosowanie wobec nowych form mediów cyfrowych. Ochrona danych osobowych to szczególny obszar w większym systemie zabezpieczeń podstawowych praw i wolności obywateli europejskich. W tym kontekście autor omawia zadania i uprawnienia Europejskiego Inspektora Ochrony Danych Osobowych oraz obecny stan rzeczy w tej dziedzinie. Na zakończenie analizuje kilka poglądów na temat głównych wyzwań w sferze bezpieczeństwa obywatelskiego, jakie czekają Europę w przyszłości.
Legal aspects of personal data storage and protection in the digital media
abstract:
We live in a society of risk. Economic well-being and social development are leading modern societies to be less prepared to accept risks and uncertainty. New threats such as terrorism, cyber-crime or environmental catastrophes have been added to more traditional threats such as disease or crime. Information technology provides means, methods and techniques that facilitate the task of subjects, whether public or private, who provide security services. However, it is a highly invasive technology that jeopardises the right to private life and the protection of citizens´ data, and it requires that assessments be made and that decisions be taken to establish a balance in the conflict between privacy and security. The author analyses the supervision over ensuring the compliance of data processing with the provisions on the protection of personal data by the European Inspector General for Personal Data Protection.
Media elektroniczne zajmują coraz ważniejsze miejsce w życiu współczesnego człowieka. Stanowią połączenie z otaczającym nas światem. Samo pojęcie „medium" pochodzi od łacińskiego słowa "coś pomiędzy". Oznacza nośnik czegoś. Może to być informacja albo fala. Zależnie od zastosowania służy do transmisji albo przechowywania. Natomiast treściowo składa się ono z kilku elementów, takich jak komunikat, nośnik przekazu, - czyli podłoże, na którym zostały zapisane informacje, oraz z aparatu umożliwiającego przekazywanie wiadomości odbiorcy. W XXI wieku obserwujemy niezwykły rozwój mass mediów elektronicznych, które dzisiaj są nieodłączną częścią rzeczywistości dla każdego człowieka [Szyjko 2007b: 67].
Tak szybki rozwój mediów cyfrowych generuje potrzebę adekwatnych rozwiązań legislacyjnych dla sprostania nowym wyzwaniom cywilizacyjnym. Podczas korzystania z różnego rodzaju sieci informacyjno-komunikacyjnych generowane są dane osobowe lub dane takie są wykorzystywane jako dane wyjściowe. Zatem rzeczywistym celem jest ochrona indywidualnych użytkowników przed nieuzasadnionym gromadzeniem, przechowywaniem, wykorzystaniem oraz rozpowszechnianiem dotyczących ich danych osobowych. Ochrona danych osobowych uważana jest za niezbędny element dobrego i odpowiedzialnego rządu w systemie prawa, co znajduje odzwierciedlenie również w ustawodawstwie europejskim [Szyjko 2007a: 97].
Przetwarzanie danych osobowych w sieciach informacyjno-komunikacyjnych, w szczególności w celu przedstawiania konsumentom ofert dopasowanych do ich potrzeb, oraz wyzwania jakie to przetwarzanie stwarza w odniesieniu do ochrony danych osobowych i poszanowania prywatności, musi być przedmiotem inicjatyw dotyczących umiejętności korzystania z mediów. Sieci informacyjno-komunikacyjne rzeczywiście otwierają przed użytkownikami nowe możliwości, ale mogą też stwarzać jednostkom nowe zagrożenia, takie jak kradzież tożsamości, dyskryminacyjne profilowanie użytkowników lub ciągły nadzór. Komisja Europejska odniosła się do tych kwestii i możliwych rozwiązań w komunikacie w sprawie lepszej ochrony danych z wykorzystaniem technologii na rzecz ochrony prywatności[1].
Kilka lat temu Komisja wydała komunikat „Europejskie podejście do umiejętności korzystania z mediów w środowisku cyfrowym"[2] skupiający się na umiejętności korzystania z mediów w zakresie informacji handlowych i obejmujący kwestie związane z reklamą i z umiejętnościami korzystania z mediów w zakresie dzieł audiowizualnych oraz dotyczący częściowo podnoszenia świadomości w zakresie filmu europejskiego i rozwijania umiejętności w zakresie kreatywności oraz umiejętności korzystania z mediów internetowych, dzięki którym, na przykład, obywatele dowiedzieliby się więcej o sposobie funkcjonowania wyszukiwarek internetowych [Szyjko i Ślusarczyk 2009: 18].
Rada w Lizbonie stwierdziła, że „sektor treści cyfrowych tworzy wartość dodaną poprzez wykorzystywanie i tworzenie sieci europejskiej różnorodności kulturowej". W zapoczątkowanej w 2007 r. europejskiej agendzie kultury ustanowiono strategiczne ramy polityczne mające na celu sprostanie kluczowym wyzwaniom w dziedzinie kultury, podczas gdy w konkluzjach Rady z maja 2009 r. w sprawie kultury jako katalizatora twórczości i innowacji podkreślono szczególny wkład, jaki kultura może wnieść w twórczość i innowację oraz zachęcono do postrzegania innowacji w sposób szeroki, jako części strategii lizbońskiej po 2010 r. Jest to także szczególnie istotne w ramach inicjatywy i2010 Komisji Europejskiej w celu wzmocnienia konkurencyjności w sektorze technologii informacyjno-komunikacyjnych i utworzenia jednolitej europejskiej przestrzeni informacyjnej.
Analiza gwarancji konstytucyjnych
Ochrona godności człowieka jest istotą i celem prawa do prywatności i ochrony danych osobowych przed nieuzasadnioną ingerencją innych osób, organów państwa, podmiotów prywatnych. Prawo do prywatności i prawo do ochrony danych osobowych z całym instrumentarium prawnym mają w swej istocie - jako cel nadrzędny - ochronę godności człowieka. Zadaniem organów ochrony danych osobowych nie jest ochrona danych, dla samej ich ochrony, lecz w istocie poprzez ochronę tych danych sfery prywatności człowieka, chroniona jest jego godność, jako atrybut przysługujący każdej jednostce ludzkiej z racji jej urodzenia się człowiekiem i pozostawania członkiem społeczności [Szyjko 2005: 35]. Ludzka społeczność zaś to zbiór jednostek, które różnią się od siebie długą listą indywidualnych cech, począwszy od narodowości, poprzez odmienne życiorysy aż po znamiona określające stan ciała i ducha poszczególnych osób [Hołda i inni 2004: 35-44].
By zachować i chronić godność jednostki, jej woli należy pozostawić jaki zakres wiedzy o niej samej ma być dostępny bliźnim i organom państwa. Jest jednocześnie oczywiste, że w imię uzasadnionych interesów całej społeczności organy państwa mogą w ustawowo określonym zakresie przetwarzać dane osobowe jednostek niezależnie od ich woli, co może mieć kluczowe znaczenie np. w sytuacjach zagrożeń np. terorystycznych. Wówczas jednak granice pozyskiwania, gromadzenia i udostępniania danych przez władze publiczne powinny być ograniczone jedynie do niezbędnych w demokratycznym państwie prawa. W takim ujęciu, w europejskiej i światowej kulturze prawnej, prawo do zachowania prywatności człowieka staje się prawem chroniącym godność każdej jednostki. Bez tej formy ochrony godności człowieka, obywatela, w strukturach prawnych demokratycznego państwa, nie jest możliwe zbudowanie państwa obywatelskiego [Szyjko i Ślusarczyk 2005: 214].
Niewątpliwie punktem zwrotnym rozwoju ochrony prawa do godności i prawa do prywatności w Polsce było wejście w życie obecnie obowiązującej Konstytucji z dnia 2 kwietnia 1997 r. Wśród przepisów tej Konstytucji ważną i liczną grupę stanowią te, które dotyczą wolności i praw człowieka i obywatela. Regulacja w nich przewidziana jest rozbudowana i dokładna. Podstawową normą konstytucyjną, stanowiącą obecnie punkt wyjścia dla wszelkich regulacji związanych z prawami jednostki jest art. 30 Konstytucji, który gwarantuje nienaruszalność godności człowieka. Konstytucja mówi expressis verbis, że godność człowieka, określona jako przyrodzona i niezbywalna, stanowi źródło wolności i praw [Banaszak 2001: 46].
Artykuł 51 Konstytucji RP gwarantujący prawo do ochrony danych osobowych musi być odczytywany łącznie z prawem do prywatności wyrażonym w art. 47 tej Konstytucji.[3] Uchwalenie pierwszej w Polsce Ustawy o ochronie danych osobowych[4], będące przejawem postępującej demokratyzacji życia publicznego w Polsce i troski o ochronę prywatności każdego jej obywatela znajdujących wyraz w zapisach tych dwóch artykułów Konstytucji, miało swe bezpośrednie źródło również w międzynarodowych zobowiązaniach Polski. Przepisy regulujące zasady przetwarzania danych osobowych, wprowadzone zostały do polskiego ustawodawstwa ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, która wzorowana była w znacznej mierze na zasadach ustanowionych Dyrektywą 95/46/WE[5] Parlamentu Europejskiego i Rady[6] i jest zgodna z ogólną polityką państw europejskich w tym zakresie. Wprowadzenie przepisów dotyczących ochrony danych osobowych do polskiego systemu prawnego, pozwoliło na podpisanie przez Polskę w dniu 21 kwietnia 1999 r. i ratyfikowanie w dniu 24 maja 2002 r. Konwencji Nr 108[7] Rady Europy[8]. Ustawa stanowi istotny element w systemie ochrony danych osobowych w Polsce, na który - prócz jej unormowań - składają się przede wszystkim normy konstytucyjne: art. 47 - gwarantujący obywatelom prawo do prywatności oraz art. 51 gwarantujący każdemu prawo do ochrony informacji dotyczących jego osoby.
Przegląd nowych zabezpieczeń w prawie europejskim.
Ochrona podstawowych praw obywateli europejskich dotyczy więc nie tylko Unii Europejskiej, ale również Rady Europy, która jest inną międzynarodową organizacją, utworzoną w 1949 roku i mającą siedzibę w Strasburgu. Jednym z pierwszych i najważniejszych osiągnięć Rady Europy było przygotowanie Europejskiej Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności (EKPC), przyjętej w 1950 roku. Na podstawie tej Konwencji powołany został Trybunał Praw Człowieka, który rozpatruje skargi przeciwko państwom członkowskim w sprawie naruszenia lub nie wystarczającego poszanowania jej faktycznych postanowień [Nowicki 2001: 47]. Prawo precedensowe Trybunału przyjmuje ‘dynamiczne podejście´ do Konwencji, które opracowano w celu zapewnienia, aby jej zabezpieczenia były na tyle stosowne i aktualne, na ile to możliwe. Wszystkie państwa członkowskie Rady Europy, w tym wszystkie państwa członkowskie Unii Europejskiej, ratyfikowały Konwencję i muszą się zastosować do jej gwarancji.
Przez wiele lat nie było wyraźniej potrzeby rozwinięcia dodatkowych zabezpieczeń w naszym regionie świata, poza strukturą Rady Europy. Europejski Obszar Gospodarczy[9], utworzony w 1956 roku, początkowo koncentrował się na obszarach, w których potrzeba opracowania takich zabezpieczeń była mniej widoczna. Jednakże w niektórych przypadkach Trybunał Sprawiedliwości Wspólnot Europejskich w Luksemburgu wprowadził szereg zabezpieczeń w drodze zasad wspólnych dla wszystkich państw członkowskich, i pośrednio wynikających z postanowień Europejskiej Konwencji Praw Człowieka.
Aczkolwiek, w związku z tym, że działania Wspólnoty stopniowo rozwijały się pod względem ekonomicznym, społecznym i politycznym, uznano za konieczne, aby bardziej wyraźnie to określić w tekście podstawowym. Z tego powodu artykuł 6 Traktatu o Unii Europejskiej, przyjęty w Maastricht w 1992 roku, obecnie przewiduje, iż Unia jest oparta na zasadach wolności, demokracji, poszanowania praw człowieka i podstawowych wolności oraz przepisach prawa, wspólnych dla wszystkich państw członkowskich. Przewiduje również wyraźnie, iż Unia musi szanować prawa podstawowe, zagwarantowane przez Europejską Konwencję Praw Człowieka i wynikające z tradycji konstytucyjnych państw członkowskich, jako podstawowe zasady prawa Wspólnoty.
Następny krok w tej kwestii poczyniono w 2000 roku, na Europejskim Szczycie w Nicei, gdzie Rada Europejska przyjęła Europejska Kartę Praw Podstawowych inkorporowaną do Traktatu Lizbońskiego[10], która stanowi, a w kilku przypadkach także aktualizuje, podstawowe prawa wspólne dla obywateli europejskich w ich relacji z Unią Europejską i jej różnymi instytucjami i organami. Jednym z nowych elementów, do których jeszcze powrócę, było uwzględnienie odrębnego prawa do ochrony danych osobowych [Szyjko 2006: 78].
Istota Konwencji o Ochronie Danych
Jeżeli obecnie skoncentrujemy się na ochronie prywatności i danych osobowych, należy najpierw wspomnieć, iż artykuł 7 Karty UE przewiduje, iż każdy ma prawo do poszanowania jego życia prywatnego i rodzinnego, domu i komunikowania się. Przepis ten odzwierciedla i w niewielkim zakresie aktualizuje odpowiadające temu prawo do prywatności w artykule 8 Europejskiej Konwencji Praw Człowieka. Ta ostatnia określa także warunki, w jakich wszelkie ograniczenia tego prawa mogłyby być dopuszczalne. W Karcie, kwestii tej dotyczy odrębny przepis, ale osoby przygotowujące projekt nie zamierzały dokonywać istotnych zmian [Hambura i Muszyński 2001: 86].
Artykuł 8 Karty stanowi, że każdy ma prawo do ochrony dotyczących go danych osobowych. Drugi ustęp przewiduje, że dane takie muszą być rzetelnie przetwarzane w określonych celach za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie prawnej oraz że każdy ma prawo dostępu do zebranych danych, które go dotyczą, i prawo do spowodowania ich skorygowania. Trzeci ustęp mówi, że przestrzeganie tych zasad podlega kontroli niezależnego organu. Oznacza to, iż artykuł 8 Karty podsumowuje główne elementy prawa do ochrony danych: normy materialne, prawa osoby fizycznej oraz niezależny nadzór.
Fakt, iż dwa prawa podstawowe - poszanowanie prywatności i ochrona danych osobowych, każde z nich z własną charakterystyką - potraktowane są osobno, jest wynikiem rozwoju, który rozpoczął się we wczesnych latach 1970. Następnie Rada Europy doszła do wniosku, że artykuł 8 EKPC miał szereg ograniczeń i wad w świetle nowych wydarzeń, szczególnie w dziedzinie technologii informacji: nie do końca określony zakres terminu ‘życie prywatne´, nacisk na ochronę przed ingerencją ‘organów publicznych´, oraz nie odpowiadał w wystarczającym stopniu rosnącej potrzebie stworzenia pozytywnego i proaktywnego podejścia, odnosząc się także do innych właściwych organizacji i interesów.
Wynikiem tego było opracowanie odrębnej Konwencji o Ochronie Danych[11], przyjętej w 1988 roku. Konwencja ta, zwana także Konwencją 108, została ratyfikowana przez 31 państw członkowskich Rady Europy, w tym przez wszystkie państwa członkowskie Unii Europejskiej. Konwencja dotyczy ‘ochrony danych´ jako ochrony podstawowych praw i wolności osób fizycznych, w szczególności prawa do prywatności, w odniesieniu do przetwarzania dotyczących ich danych osobowych. Świadczy to o tym, że ‘ochrona danych´ jest szersza niż ‘ochrona prywatności´, ponieważ dotyczy także innych podstawowych praw i wolności osób fizycznych, oraz jednocześnie bardziej określonych, ponieważ dotyczy jedynie przetwarzania danych osobowych. Konwencja 108 nie ma charakteru wykonawczego: zawiera obowiązek dla umawiających się stron, aby przyjęły krajowe ustawodawstwo w zgodzie z podstawowymi zasadami. Dodatkowy protokół, który wszedł w życie 1 lipca 2004 roku dla sześciu państw członkowskich, wymaga, aby strony utworzyły organy nadzorcze, wykonujące swoje funkcje całkowicie niezależnie, jako niezbędny element skutecznej ochrony osób fizycznych w tej dziedzinie.
Tymczasem, Europejski Trybunał Praw Człowieka wyraził opinię (Z. v. Finlandia 1997[12]), iż ochrona danych osobowych ma fundamentalne znaczenie dla tego, aby osoba mogła korzystać ze swoich praw do poszanowania życia prywatnego i rodzinnego, co gwarantuje artykuł 8 EKPC. W tym kontekście Trybunał nawiązał również do Konwencji 108. Zdaniem Trybunału, artykuł 8 EKPC prawdopodobnie zawiera obowiązek nadania mocy obowiązującej podstawowym zasadom określonym w Konwencji 108, w każdym przypadku w odniesieniu do ‘danych szczególnie chronionych´. Kładzie to dodatkowy nacisk na wdrożenie tej Konwencji.
Zakres zadań EIDO
Do tej pory przyjrzeliśmy się ochronie praw podstawowych obywateli europejskich oraz ogólnej strukturze ochrony prywatności i danych osobowych. W szczególności zwróćmy uwagę na Rozporządzenia 45/2001, które dotyczy ‘przetwarzania danych osobowych w instytucjach i organach Wspólnoty, o ile takie przetwarzanie jest prowadzone w ramach wykonywania działań, których całość lub część podlega zakresowi prawa Wspólnoty´.
Interesującą cechą omawianego Rozporządzenia jest obowiązek, aby każda instytucja lub organ Wspólnoty powołały przynajmniej jedną osobę na stanowisko Urzędnika ds. Ochrony Danych. Zadaniem tych urzędników jest zapewnienie wewnętrznego stosowania przepisów Rozporządzenia, i powinno być to dokonane w sposób niezależny. Wszystkie instytucje Wspólnoty oraz szereg organów obecnie ma takich urzędników, którzy w większości przypadków działają od kilku lat. Oznacza to, iż prowadzi się już prace nad wdrożeniem Rozporządzenia, nawet przy braku organu nadzorczego. Innym aspektem jest to, iż często są one w lepszej sytuacji pozwalającej na udzielanie porad lub interweniowanie we wczesnym etapie, oraz na pomaganie w rozwoju dobrych praktyk.
Zadania Europejskiego Inspektora Ochrony Danych Osobowych określone zostały w Rozporządzeniu. Do pewnego stopnia podobne są do zadań krajowych organów nadzorczych: tj. rozpatrywanie skarg, prowadzenie dochodzeń, informowanie administratorów i osób, których dane dotyczą, podejmowanie kontroli wstępnych, etc. Rozporządzenie daje prawo dostępu do istotnych informacji oraz do właściwych pomieszczeń, gdy jest to potrzebne do przeprowadzenia dochodzenia. EIODO może również nakładać sankcje oraz kierować sprawę do Trybunału Sprawiedliwości. Europejski Inspektor Ochrony Danych wykonuje swoje obowiązki w sposób całkowicie niezależny. Ma on jednocześnie obowiązek powstrzymania się od wszelkich czynności niezgodnych ze swoimi obowiązkami i podczas swojej kadencji nie wykonuje żadnej innej zarobkowej lub niezarobkowej działalności zawodowej.
Niektóre z jego zadań mają szczególny charakter. Zadanie udzielania porad odnośnie nowego ustawodawstwa Komisji Europejskiej oraz innym instytucjom Wspólnoty dotyczy także projektów Dyrektyw oraz innych środków, które są przeznaczone do zastosowania na poziomie krajowym, i mogą być wdrożone w prawie krajowym. Jest to strategiczne zadanie, które pozwala przyjrzeć się wpływowi na prywatność we wczesnym etapie oraz przedyskutować wszelkie dostępne rozwiązania alternatywne. Monitorowanie rozwoju odpowiednich dziedzin, o ile ma to wpływ na ochronę danych osobowych, jest również ważnym zadaniem.
Współpraca z krajowymi organami nadzorczymi oraz z organami nadzorczymi w ramach ‘trzeciego filaru´, np. z organami nadzorczymi Schengen[13], Europol[14], Customs[15] i Eurojust[16], są obowiązkami o podobnym charakterze. Jako członek Grupy Roboczej Artykułu 29, ustanowionej na podstawie artykułu 29 Dyrektywy 95/46/WE w celu udzielania porad Komisji oraz opracowywania ujednoliconych polityk, EIDO ma możliwość wniesienia wkładu na tym poziomie. Współpraca z organami nadzorczymi w ramach ‘trzeciego filaru´ pozwala mu obserwować rozwój w tej dziedzinie, oraz przyczynić się do bardziej spójnej struktury ochrony danych osobowych, bez względu na ‘filar´ lub specyficzny kontekst.
Skuteczność harmonizacji ustawodawstwa
Na różnych poziomach szczegółowości pojawia się znacznie więcej zadań priorytetowych, ale w chwili obecnej chciałbym się skoncentrować tylko na tych pięciu obszarach. Pierwszy z obszarów, na który zwracam największą uwagę dotyczy wdrażania Rozporządzenia 45/2001, które obowiązuje już ponad cztery lata, oczywiście dzięki pozytywnemu zaangażowaniu urzędników ds. ochrony danych, lecz bez udziału Europejskiego Inspektora Ochrony Danych Osobowych. Jest to nowy element w procesie kształtowania polityki i codziennej praktyki ochrony danych osobowych, do której instytucje i organy Wspólnoty musiały przywyknąć. Unia była bardzo aktywna, gdy chodzi o działania w zakresie ochrony danych mające na celu harmonizację polityk krajowych i ustawodawstwa, ale było już raczej zbyt późno, aby te zasady i polityki stosować w ramach poszczególnych obszarach działań Unii. Bez wątpienia będzie to wymagało dodatkowego czasu, a także procesu edukacji i podnoszenia świadomości, o czym przekonały się poszczególne krajowe organy ochrony danych osobowych.
Drugi obszar jest obszarem szczególnym z uwagi na fakt, iż dotyczy możliwych, przynajmniej w praktyce problemów związanych ze stosowaniem dwóch nowych Rozporządzeń określających podstawowe zasady. Mam na myśli relacje pomiędzy Rozporządzeniem 45/2001 o ochronie danych, o którym właśnie była mowa oraz Rozporządzeniem 1049/2001 w sprawie publicznego dostępu do dokumentów. Uważam, iż zarówno reguły oraz Rozporządzenia są w jednakowym stopniu odpowiednie i ważne dla właściwej kontroli. Chociaż mogą pojawić się sytuacje sporne, w odniesieniu do terminologii in abstracto, wydaje się jednak, iż dobre rozwiązania można znaleźć przy rozpatrywaniu konkretnego przypadku dzięki zastosowaniu odpowiednich podstaw prawnych, jak czyni się to w chwili obecnej. W tym procesie pomocne mogą być praktyczne wskazówki oraz zasady, wypracowane na poziomie europejskim.
Trzecim obszarem jest przyszłość Dyrektywy 95/46/WE, która ostatnio została poddana ocenie. W raporcie oceniającym, który został opublikowany w maju 2003 r. Komisja Europejska stwierdziła, iż nie ma potrzeby nowelizować Dyrektywy, a należy raczej w lepszy sposób wykorzystać istniejące ramy prawne. Komisja przyjęła program roboczy na lata 2003 - 2004, obejmujący dyskusje dwustronne z państwami członkowskimi na temat sposobu wdrażania Dyrektywy do przepisów krajowych oraz szereg kwestii będących przedmiotem wspólnych działań krajowych organów ochrony danych osobowych w ramach Grupy Roboczej Art. 29. Wskazać należy między innymi na wprowadzenie w możliwie najszerszym zakresie uproszczeń, większej elastyczności oraz promocję przestrzegania i skutecznego wykonywania przepisów.
Czwarty obszar dotyczy nowych zmian, które zaobserwowano w „trzecim filarze". Ważnym priorytetem Komisji oraz państw członkowskich jest podniesienie stopnia bezpieczeństwa i egzekwowania prawa i nie mam wątpliwości, iż jest to w pełni uzasadnione w obliczu wydarzeń, które miały ostatnio miejsce zarówno w Europie, jak i w innych rejonach. Jednakże jestem przekonany, iż zapewnienie prawdziwego bezpieczeństwa nie jest możliwe, o ile nie zostanie zachowana odpowiednia równowaga w zakresie podstawowych praw i wolności, a w szczególności nie będą uwzględniane słuszne prawa obywateli Europy w obszarze ochrony prywatności i danych osobowych [Jasudowicz 1998: 104]. Prowadząc współpracę z organami „trzeciego filaru" należy zwracać ich uwagę na uzasadnione prawa obywateli europejskich.
Przejdziemy teraz do ostatniego obszaru dotyczącego stosunków pomiędzy Unią Europejską i krajami trzecimi w zakresie ochrony prywatności i danych osobowych, a w szczególności ostatnich stosunków na linii Unia Europejska - Stany Zjednoczone [Jagieła 2002: 56]. Poglądy dotyczące natury i roli ochrony danych są odmienne, lecz EU i USA są jednak zgodni w wielu kwestiach o fundamentalnym znaczeniu. Dzięki temu możliwe było wypracowanie praktycznych ustaleń dotyczących problemów związanych z przekazywaniem danych osobowych za granicę, jak np. porozumienie Safe Harbor[17], które wkrótce będzie zrewidowane i w razie konieczności odpowiednio zmienione lub uaktualnione. Bardzo poważne problemy, które wyniknęły z przekazywania danych pasażerów linii lotniczych, w moim odczuciu nie zostały dotychczas rozwiązane w sposób satysfakcjonujący i w związku z tym powinny być monitorowane z większą uwagą. W jednej kwestii musimy być bardzo ostrożni przed zawarciem porozumień obejmujących szerszy obszar, jak np. w przypadku globalnych standardów transportu lotniczego omawianych na różnych poziomach.
Podsumowanie
Mimo upływu lat problematyka ochrony prywatności i danych osobowych nie przestaje być aktualna. Wprost przeciwnie - niebywały rozwój współczesnej cywilizacji, nowoczesna technika i sposoby przekazywania informacji stawiają przed nami ciągle nowe pytania dotyczące zakresu i środków tej ochrony [Redelbach 2001: 42]. Są to bardzo ważkie pytania, gdyż godność człowieka i wywodzące się z niej prawa, w tym prawo do prywatności i ochrony danych osobowych, stanowią fundament całego porządku prawnego w państwie demokratycznym. Wyższy poziom umiejętności korzystania z mediów pomógłby w znacznej mierze w zbliżeniu się do celów Unii Europejskiej ustanowionych podczas posiedzenia Rady Europejskiej w Lizbonie i w inicjatywie i2010, odnoszących się w szczególności do bardziej konkurencyjnej gospodarki opartej na wiedzy, i przyczyniłby się tym samym do powstania bardziej integracyjnego społeczeństwa informacyjnego.
Europejski system ochrony podstawowych praw i wolności, a w szczególności prawo do prywatności i ochrony danych osobowych przez administracje zostały w ciągu ostatnich lat wzmocnione, a kolejnym krokiem będzie jego zagwarantowanie w nowym traktacie unijnym. Ustanowienie nowej instytucji Europejskiego Inspektora Ochrony Danych Osobowych jest logicznym krokiem w ramach rozwoju prawa ochrony danych osobowych w Unii Europejskiej. Żyjemy w bardzo interesujących czasach: pracy nad podniesieniem sprawności sektora publicznego, rozwoju elektronicznej administracji, stymulowania sektora prywatnego w zakresie wytwarzania lepszych produktów i usług, podnoszenia poziomu życia obywateli oraz bezpieczeństwa wspólnot. Wszystkie wskazane działania oraz wiele innych zależą od zgodnego z prawem wykorzystywania danych osobowych i ochrona danych osobowych powinna być postrzegana jako warunek dla ich powodzenia [Szyjko i Ślusarczyk 2008: 34].
Rozpatrywaniu problemów związanych z koniecznością ograniczania prywatności ze względu na interes publiczny lub interes podmiotów prywatnych, koniecznym staje się wyważenie proporcji pomiędzy racjami władzy państwowej, interesem gospodarczym podmiotów a interesem obywateli, których prywatność, a przez to i prawo do godności, może być ograniczona. Dziś stajemy także przed problemem, na skalę nie znaną wcześniej w historii, wyznaczenia granic pomiędzy sposobami zwalczania terroryzmu, także poprzez wykorzystanie danych osobowych obywateli, w tym szczególnie chronionych, a gwarancjami przysługującymi każdemu obywatelowi w państwie prawnym. Oczywistym jest, że przeciwstawiając się terrorystycznemu zagrożeniu państwo może postępować według zasady, którą sformułował Marek Tuliusz Cicero: „Vim vi repellere licet" - na przemoc trzeba odpowiadać przemocą, ale chodzi jednak o to, aby reakcja państwa nie dotykała w sposób nieproporcjonalny tych obywateli, których zachowania w żadnym stopniu takiego zagrożenia nie stwarzają.
Cezary Tomasz Szyjko
dr nauk prawnych
AHE adiunkt
Bibliografia:
Banaszak B. (2001), Prawa i wolności obywatelskie w Konstytucji RP, C.H. Beck, Warszawa.
Hambura S., Muszyński M. (2001), Karta Praw Podstawowych, Studio Sto, Warszawa.
Hołda J., Hołda Z., Rybczyńska J.A., Ostrowska D. (2004), Prawa człowieka. Zarys wykładu, Zakamycze.
Jagieła J. (2002), EU-USA: perspektywy, „Monitor Prawniczy" nr 5/2002, C. H. Beck, Warszawa.
Jasudowicz T. (1998), Europejskie standardy bezpieczeństwa. Wybór materiałów, TNOiK.
Nowicki M.A. (2001), Europejski Trybunał Praw człowieka. Orzecznictwo, Zakamycze.
Redelbach A. (2001), Natura Praw Człowieka, Strasburskie standardy ich ochrony, TNOiK.
Szyjko C.T. (2005), Ochrona danych osobowych w europejskim systemie podstawowych praw i wolności. Commentationes, Zeszty Naukowy WSMW Nr 1.
Szyjko C.T. (2006), Regionalny wymiar integracji europejskiej i jego znaczenie dla Polski, Zeszyty Naukowe Nr. 7 (2), Stowarzyszenie „Dom Europejski", ELIPSA, Warszawa.
Szyjko C.T. (2007a), Przewodnik po prawie europejskim - podręcznik akademicki, teksty źródłowe do nauki prawa europejskim, Wyższa Szkoła Komunikowania i Mediów Społecznych, Warszawa.
Szyjko C.T. (2007b), Rola mediów elektronicznych a bezpieczeństwo obywatelskie w kontekście członkostwa Polski w Unii Europejskiej, [w:] tenże, Wyższa Szkoła Komunikowania i Mediów Społecznych im. Jerzego Giedroycia w Warszawie, s. 102-112, Warszawa.
Szyjko C.T. i Ślusarczyk Z. (2005), Prawa człowieka i wolności obywatelskie w dokumentach ONZ, OBWE, Rady Europy i Unii Europejskiej, Wydawnictwo Naukowe ASPT, Piotrków Tryb.
Szyjko C.T. i Ślusarczyk Z. (2008), Rola i znaczenie mediów publicznych w Polsce w świetle europejskiej polityki audiowizualnej, Instytut Monitorowania Mediów, Warszawa.
Szyjko C.T. i Ślusarczyk Z. (2009), Nowy paradygmat polityki medialnej UE, Piotrków Tryb.
www.europarl.europa.eu/sides/getDoc.do?type=REPORT&reference=A6-2005-
0278&language=EN (dostęp z dnia 25 lipca 2010r)
[1] Bruksela, dnia 20.8.2009 K(2009) 6464, Zalecenia Komisji w sprawie umiejętności korzystania z mediów w środowisku cyfrowym w celu stworzenia bardziej konkurencyjnego sektora audiowizualnego i treści cyfrowych oraz stworzenia integracyjnego społeczeństwa opartego na wiedzy.
[2] COM(2007) 833 wersja ostateczna
[3] (art. 47.): Każdy ma prawo do ochrony życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. (art. 51.): Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby.
[4] tekst jednolity: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.
[5] Teksty wszystkich Dyrektyw i Rozporządzeń EU: http://www.dataprivacy.ie/6a.htm
[6] Rada UE stanowi główny ośrodek podejmowania decyzji politycznych Unii Europejskiej.
[7] KONWENCJA Nr 108 RADY EUROPY sporządzona w Strasburgu dnia 28 stycznia 1981 r. o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych, (Dz. U. z 2003 r. Nr 3, poz. 25), potocznie: Konwencja o Ochronie Danych. Tekst oryginalny: http://www.dataprivacy.ie/6ai.htm
[8] Rada Europy jest najstarszą, utworzoną w 1949 r., europejską organizacją polityczną zrzeszającą obecnie ponad 40 państw, w tym wiele państw z rejonu Europu Środkowej i Wschodniej. Jednym z celów ustanowienia Rady Europy była potrzeba ochrony praw człowieka, w tym prawa do prywatności. Od 1989 r. głównym zadaniem Rady Europy stało się pełnienie roli organu nadzorczego nad przestrzeganiem praw człowieka w europejskich demokracjach postkomunistycznych oraz dostarczanie wiedzy w zakresie ochrony praw człowieka. W dorobku Rady Europy znalazły się liczne prawnie wiążące europejskie traktaty i konwencje, z których wiele zostało otwartych do podpisu przez państwa niebędące członkami Rady Europy, poświęcone m.in. ochronie praw człowieka oraz ochronie danych osobowych, jak również skierowane do rządów zalecenia zawierające wytyczne w zakresie przyjęcia określonej praktyki działania. Więcej informacji o Radzie Europy oraz jej działaniach w zakresie ochrony danych osobowych znaleźć można na stronie internetowej Rady Europy: http://www.coe.int/
[9] EUROPEJSKI OBSZAR GOSPODARCZY, ang. European Economic Area (EEA), wspólny rynek na obszarze 12 państw należących do Europejskiej Wspólnoty Gospodarczej (EWG) i 7 państw Europejskiego Stowarzyszenia Wolnego Handlu (EFTA), utworzony na mocy porozumienia uzgodnionego 1991 w Luksemburgu, podpisanego 1992 w Porto (Portugalia). Po ratyfikacji przez 18 państw członkowskich (bez Szwajcarii) i Parlament Europejski obowiązuje od 1 I 1994; największa na świecie strefa wolnego handlu.
[10] Praw Podstawowych Unii Europejskiej, której projekt uzgodniony został w październiku 2000 r, to dokument przyjęty i uroczyście ogłoszony na szczycie Unii Europejskiej w Nicei, w grudniu 2000 r. Karta określa katalog podstawowych praw i wolności obywatela Unii Europejskiej. Katalog ten, poza wartościami uznawanymi powszechnie przez różne akty prawa międzynarodowego (m.in. prawo do godności osoby ludzkiej, prawo do życia, zakaz tortur i nieludzkiego traktowania, prawo do wolności, rzetelnego procesu), zawiera też prawo do ochrony danych osobowych. Karta stała się podstawą do dalszych dyskusji na temat praw i wolności obywatela Unii. Wskazane w niej wartości zainicjowały dyskusję nad ewentualną Konstytucją Unii.
[11] Dz. U. z 2003 r. Nr 3, poz. 25.
[12] 25.02.1992 Roger i Margareta Andersson v. Szwecja; 7.08.1996 Johansen v. Norwegia; 25.02.1997 Z. v. Finlandia. ( orzeczenie - 19 lutego 1998r., raport Europejskiej Komisji Praw Człowieka z 4 września 1996r., skarga nr 16817/90)
[13] W dniu 14 czerwca 1985 r w Schengen (Luksemburg) zawarta została konwencja poświęcona znoszeniu kontroli granicznej między państwami Wspólnoty Europejskiej. Stała się ona podstawą porozumienia z dnia 19 czerwca 1990 r., pomiędzy Francją, Holandią, Belgią, Niemcami, Włochami, Luksemburgiem, Hiszpanią i Portugalią, na mocy którego powstał System Informacyjny Schengen (SIS). Celem działalności SIS jest pomoc policji i organom celnym w wymianie informacji na temat osób przekraczających granice państw stanowiących strony porozumienia. Dostęp do danych SIS jest dla tych podmiotów, w zakresie ich zadań, nieograniczony. W ograniczonym zakresie prawo dostępu do danych przysługuje również organowi wydającemu wizę do danego kraju. Konwencja zawiera szczegółowe regulacje dotyczące zasad gromadzenia, przechowywania i udostępniania danych osobowych. Określa także zakres, w jakim dane mogą być przetwarzane dla realizacji postanowień porozumienia.
[14] Joint Supervisory Body of Europol, dalej zwane JSB Europol, to organ nadzoru ustanowiony na podstawie art. 24 Konwencji o utworzeniu Europejskiego Urzędu Policji (Konwencja o Europolu) odpowiedzialny za nadzór nad działalnością Europolu zmierzający do zapewnienia, że prawa jednostki nie są łamane przez przechowywanie, przetwarzanie i wykorzystywanie informacji znajdujących się w posiadaniu Europolu. Jednocześnie, JSB Europol jest organem właściwym do monitorowania dopuszczalności przekazania danych pochodzących ze zbiorów Europolu. W skład JSB Europol wchodzi maksymalnie po dwóch posiadających niezbędne kwalifikacje członków lub przedstawicieli (w razie konieczności wspieranych przez zastępców) posiadających gwarancję niezależności organu ochrony danych każdego z Państw Członkowskich wybieranych na pięcioletnią kadencję. Każdej delegacji przysługuje prawo do jednego głosu. Członkowie JSB Europol są niezależni w wykonywaniu swoich obowiązków. Spośród członków wybierany jest przewodniczący. Więcej informacji o JSB Europol na stronie internetowej JSB Europol (http://europoljsb.ue.eu.int/).
[15] Joint Supervisory Authority Customs, dalej zwane JSA Customs, to organ nadzoru ustanowiony na podstawie art. 18 Konwencji o zastosowaniu technologii informatycznych dla celów celnych jako organ właściwy w sprawach nadzoru nad działaniem Systemu Informacji Celnej (CIS). W skład JSA Customs wchodzi po dwóch przedstawicieli organu bądź organów ochrony danych każdego z Państw Członkowskich będących stronami wskazanej powyżej Konwencji. Od czerwca 2003 r. przedstawiciele Biura Generalnego Inspektora Ochrony Danych Osobowych oraz przedstawiciele organów ochrony danych Państw Kandydujących uczestniczą w posiedzeniach JSA Customs w charakterze obserwatorów. Zadania JSA Customs wykonywane są w zgodności z postanowieniami wskazanej powyżej Konwencji oraz Konwencji Nr 108 Rady Europy dotyczącą ochrony osób w związku z automatycznym przetwarzaniem danych osobowych z uwzględnieniem Zalecenia R (87)15 Komitetu Ministrów Rady Europy z dnia 17 września 1987 r. w sprawie wykorzystania danych osobowych w sektorze policyjnym.
[16] Eurojust jest organizacją złożoną z przedstawicieli wymiaru sprawiedliwości, odpowiedzialnych za prowadzenie postępowania przygotowawczego w sprawach karnych. W zależności od państwa mogą to być prokuratorzy, sędziowie śledczy lub funkcjonariusze policji. Jej celem jest zwalczanie przestępczości zorganizowanej na terytorium UE.
[17] Safe Harbor Principles, U.S. Department of Commerce, Federal Register 24.07.2000; http://www.export.gov/safeharbor/sh_documents.html (dostęp z dnia 25 lipca 2010r.)