Czynności sprawdzające prowadzone przez Prezesa UOD

Uprawnieniem Prezesa UOD, wynikajacym z art. 24 i n. ustawy z 10 maja 2018 r. o ochronie danych osobowych, jest możliwość przeprowadzenia swoistej kontroli przestrzegania zasad przetwarzania danych osobowych przez:

• podmiot, który wystąpił z wnioskiem o udzielenie certyfikacji, czyli administrator danych, podmiot przetwarzający, producent albo podmiot wprowadzający usługę lub produkt na rynek,
• podmiot certyfikowany w okresie ważności udzielonej temu podmiotowi certyfikacji.

W pierwszym przypadku czynności sprawdzające powinny odbyć się w terminie nie dłuższym niż 3 miesiące od dnia złożenia wniosku o udzielenie certyfikacji. Jak wszakże zaznaczono to na początku, Prezes UODO nie ma obowiązku ich każdorazowego przeprowadzenia i zależy to od okoliczności danego przypadku.

Niezależnie od tego, już w odniesieniu do każdej procedury certyfikacyjnej, konieczne jest zbadanie spełnienia kryteriów certyfikacji przez wnioskującego o jej udzielenie. W tych przypadkach zatem, w których Prezes Urzędu nie zdecydował się na przeprowadzenie czynności sprawdzających, zbadanie przestrzegania kryteriów certyfikacji odbywa się w oparciu o dostarczone przez wnioskodawcę dokumenty i informacje, względnie uzupełnione na żądanie Prezesa UODO.

Podobieństwo omawianych czynności sprawdzających do kontroli prowadzonej przez organy administracji publicznej odnaleźć można w kolejnych ustępach  artykułu 24 ustawy o ochronie danych osobowych. Przede wszystkim bowiem, Prezes UODO zobowiązany jest do zawiadomienia podmiotu, u którego mają zostać one przeprowadzone, o zamiarze ich podjęcia. Nadto, określony został termin, w którym mogą zostać one wszczęte. Ustawa ogranicza się jednakże do wskazania:

• najwcześniejszego momentu, w którym mogą zostać one przeprowadzone – jest nim 8 dzień po doręczenia zawiadomienia,
• końcowego momentu, w którym można je przeprowadzić – nie później niż przed upływem 30 dni od dnia doręczenia zawiadomienia.

Kolejny element upodabniający omawiane czynności do kontroli, stanowi fakt przeprowadzania ich na podstawie imiennego upoważnienia wydanego przez Prezesa UODO. Wśród elementów istotnych, z punktu widzenia podmiotu poddanego tymże czynnościom, należy wskazać w szczególności na następujące:

• zakres czynności sprawdzających – bardzo szerokie kompetencje osoby przeprowadzającej czynności sprawdzające, które wskazano w art. 25 ww. ustawy, mogą być wykonywane jedynie w odniesieniu do zakresu czynności wskazanego w upoważnieniu. Zaznajomienie się z zakresem czynności sprawdzających pozwalać zatem będzie osobie kontrolowanej na weryfikowanie żądań kontrolującego, pod kątem ich zgodności z wystawionym mu upoważnieniem.
• datę i miejsce jego wystawienia – może to stanowić argument względem dochowania, bądź nie dochowania ww. terminów na przeprowadzenie czynności sprawdzających.

Michał Koralewski