Weryfikacja niekaralności - ustawa Kamilka wymaga dostosowania do wymogów RODO

W ocenie Prezesa Urzędu Ochrony Danych Osobowych ustawa czyni koniecznym przetwarzanie danych osobowych kandydatów do zatrudnienia i innych osób dopuszczanych do wykonywania określonych czynności wobec małoletnich, co z kolei może stanowić poważną ingerencję w prawa podstawowe do poszanowania życia prywatnego i do ochrony danych osobowych wynikające z art. 7 i 8 Karty Praw Podstawowych UE. Dotyczy to w szczególności danych dotyczących skazań, o których mowa w art. 10 RODO.

Zdaniem Prezesa UODO powyższe rodzi konieczność dostosowania treści ustawy do standardów RODO. To zaś winno być poprzedzone wykonaniem przez ustawodawcę oceny skutków dla ochrony danych osobowych (DPIA).

Przede wszystkim w ustawie brak jest podstawy prawnej dla przetwarzania danych osobowych w ramach standardów ochrony małoletnich. Ustawa odsyła bowiem do wytycznych niemających charakteru norm prawnych, które nie mogą kształtować przetwarzania danych osobowych. Do tego w ustawie brakuje regulacji odnoszących się do kwestii praw podmiotów danych i realizacji obowiązków administratorów.

Kolejnym problemem jest niesprecyzowany okres przechowywania danych osobowych. Brak tego okresu jest problematyczny zwłaszcza w kontekście weryfikacji niekaralności.

Analogicznych rozwiązań brakuje w przypadku danych małoletnich np. w dokumentacji z interwencji w przypadku podejrzenia krzywdzenia małoletniego.

Uregulowana w ustawie weryfikacja niekaralności wiąże się z dostępem do danych osobowych w Krajowym Rejestrem Karnym oraz Rejestrem Sprawców Przestępstw na Tle Seksualnych. Prezes Urzędu zwrócił uwagę na zbyt szeroki zakres danych osobowych dotyczących przestępstw objętych weryfikacją (art. 21 ust. 3 ustawy). Zakres ten powinien zostać zrewidowany z uwzględnieniem zasady celowości i proporcjonalności. Zdaniem Prezesa UODO skazanie za niektóre z przestępstw objętych ustawą nie wiążą się z jakimkolwiek ryzykiem dla małoletnich.

Do tego wątpliwości wzbudza niedookreślony krąg podmiotów zobligowanych do weryfikacji niekaralności. W art. 21 ust. 1 ustawy wskazano bowiem, że obowiązek spoczywa na pracodawcy, lub na „innym organizatorze działalności”. Takie sformułowanie budzi liczne wątpliwości interpretacyjne. Brak też powiązania obowiązku weryfikacji z zakresem obowiązków, które ma wykonywać kandydat do zatrudnienia lub inna osoba dopuszczana do działalności wobec małoletnich.

Braki w ustawie nie sprzyjają zachowaniu zasady integralności i poufności danych. W szczególności nie uregulowano sposobu i formy dokumentowania pozyskanych danych, kręgu podmiotów przetwarzających dane osobowe a także tego, jakie są warunki dostępu do tych danych.

Ustawa nie odnosi się w żaden sposób do obowiązku informacyjnego RODO. Oznacza to, że obowiązek informacyjny jest realizowany na takich samych warunkach wobec poszkodowanego małoletniego jak i sprawcy zdarzenia. W ocenie Prezesa UODO zasadne byłoby rozważenie wprowadzenia ograniczeń w realizacji tego obowiązku. Takie ograniczenie funkcjonuje choćby w ustawie o ochronie sygnalistów.