Art. 6 ust. 2 dotyczy przesłanki z art. 6 ust. 1 lit. c i e – czyli ustawodawca krajowy w celu dostosowania stosowania przepisów rodo, może wprowadzić lub zachować bardziej szczegółowe przepisy nakładające obowiązki na administratora i takie które regulują wykonywanie zadań publicznych, oczywiście w zakresie w jakim regulują problematykę przetwarzania danych.
- Dostosowanie przepisów rodo
- Stosunek zawierania między przepisami
- Istota uszczegółowienia
- Kompetencja do ograniczenia stosowania rodo
2. Państwa członkowskie mogą zachować lub wprowadzić bardziej szczegółowe przepisy, aby dostosować stosowanie przepisów niniejszego rozporządzenia w odniesieniu do przetwarzania służącego wypełnieniu warunków określonych w ust. 1 lit. c) i e); w tym celu mogą dokładniej określić szczegółowe wymogi przetwarzania i inne środki w celu zapewnienia zgodności przetwarzania z prawem i jego rzetelności, także w innych szczególnych sytuacjach związanych z przetwarzaniem przewidzianych w rozdziale IX.
Dostosowanie przepisów rodo
Przy czym podstawa z art. 6 ust. 1 lit. c nie dotyczy wyłącznie podmiotów z sektora publicznego tak jak podstawa z lit. e. Art. 6 ust. 1 lit. c dotyczy również podmiotów prywatnych w tym prywatnych pracodawców, a obowiązki te są formułowane zarówno przez ustawy o charakterze prywatno jak i publicznoprawnym, a także mieszanym, co występuje najczęściej. „Dostosowanie stosowania przepisów rodo” oznacza po prostu zapewnienie (umożliwienie) stosowania przepisów rodo, które miejscami są zbyt ogólne, a samo stosowanie przepisów rodo, ma na celu ochronę praw i wolności podmiotu danych – ochronę prywatności. Dodatkowo art. 6 ust. 2 zd. 2 precyzuje na czym ma polegać to uszczegółowienie, mianowicie na określeniu wymogów przetwarzania i innych środków, w celu zapewnienia zgodności przetwarzania z prawem i jego rzetelności (mówiąc ogólnie w celu ochrony prywatności).
Dostosowanie przez administratora
Dla przetwarzania niesprecyzowanego przez ustawodawstwo krajowe, to sam administrator musi sobie dostosować stosowanie przepisów rodo, aby można było mówić o ich wykonaniu i spełnieniu ich celu, i również administrator tak jak ustawodawca krajowy nie może ograniczać stosowania rodo. Gdyby ustawodawca europejski nie zdecydował się pozostawić znacznego obszaru prawa do samodzielnej regulacji ustawodawcy krajowemu i podmiotom uczestniczącym w przetwarzaniu, musiałby samo rodo napisać znacznie bardziej precyzyjnie i ingerować w tysiące ustaw poszczególnych krajów członkowskich. Zrezygnowanie z przyjętej dozy ogólności sprawiło by również, że rodo przestało by być aktem, zdolnym adaptować się do zmieniających się warunków.
Artykuł 88 Przetwarzanie w kontekście zatrudnienia
1. Państwa członkowskie mogą zawrzeć w swoich przepisach lub w porozumieniach zbiorowych bardziej szczegółowe przepisy mające zapewnić ochronę praw i wolności w przypadku przetwarzania danych osobowych pracowników w związku z zatrudnieniem, w szczególności do celów rekrutacji, wykonania umowy o pracę, w tym wykonania obowiązków określonych przepisami lub porozumieniami zbiorowymi, zarządzania, planowania i organizacji pracy, równości i różnorodności w miejscu pracy, bezpieczeństwa i higieny pracy, ochrony własności pracodawcy lub klienta oraz do celów indywidualnego lub zbiorowego wykonywania praw i korzystania ze świadczeń związanych z zatrudnieniem, a także do celów zakończenia stosunku pracy.
2. Przepisy te muszą obejmować odpowiednie i szczegółowe środki zapewniające osobie, której dane dotyczą, poszanowanie jej godności, prawnie uzasadnionych interesów i praw podstawowych, w szczególności pod względem przejrzystości przetwarzania, przekazywania danych osobowych w ramach grupy przedsiębiorstw lub grupy przedsiębiorców prowadzących wspólną działalność gospodarczą oraz systemów monitorujących w miejscu pracy.
3. Do dnia 25 maja 2018 r. każde państwo członkowskie zawiadamia Komisję o swoich przepisach przyjętych na mocy ust. 1, a następnie niezwłocznie o każdej dotyczącej ich późniejszej zmianie.
Stosunek zawierania między przepisami
Art. 88 rodo mówi o przyjęciu przepisów szczegółowych mających na celu zapewnienia ochrony praw i wolności podmiotu danych (stosowania przepisów rodo) w zatrudnieniu, czyli powtarza to samo co art. 6 ust. 2, trochę innymi słowami, ponieważ ten przez odwołanie do ust. 1 lit. c, mówiąc o wszelkich sytuacjach nałożenia obowiązku na administratora, mówi m.in. o stosunkach zatrudnienia. I tu również w ust. 2 zostaje sprecyzowane na czym ma polegać uszczegółowienie, mianowicie na przyjęciu środków w celach wymienionych w tej jednostce redakcyjnej, które można zbiorczo określić jako ochroną prywatności, czyli ogólny przedmiot regulacji rodo. Oznacza to, że art. 6 ust. 2 rodo ma po prostu szerszy zakres zastosowania i konsumuje art. 88 rodo – obydwa za cel stawiają umożliwienie ochrony prywatności.
Owszem art. 88 rodo wymienia kilka innych sfer, które nie podpadają pod podstawę z art. 6 ust. 1 lit. c, jak np. rekrutacja (choć tu ustawodawca krajowy zmienił zwrot „może żądać” na „żąda” co ma umożliwić oparcie rekrutacji na lit. c – ta zmiana językowa nie zmienia jednak istoty rzeczy, która polega na tym, że rekrutacja nie jest obowiązkiem a uprawnieniem, do zatrudnienia co do zasady może bowiem dojść bez rekrutacji) czy wykonanie umowy o pracę, ale w tych sferach nawet bez podstawy kompetencyjnej ustawodawca krajowy ma ustrojową kompetencję do tworzenia prawa, które nie jest niezgodne z prawem europejskim.
Natomiast zakres kompetencji regulacyjnej państw członkowskich wynikający z tych przepisów (art. 6 ust. 2 i art. 88 rodo) jest taki sam i jedynym wskaźnikiem, który go wyznacza jest zwrot „wprowadzić/zawrzeć bardziej szczegółowe przepisy”. „Uszczegółowić” znaczy w tym kontekście nie tylko tyle co przyjęcie przepisów szczególnych w systemie krajowym, bo te są przyjmowana dla sytuacji odmiennych (bardziej szczegółowych hipotez), nie uregulowanych w przepisach ogólnych, ale również doprecyzowanie dyspozycji dla hipotez z rodo.
Istota uszczegółowienia
W przypadku relacji rodo – prawo krajowe, uszczegółowienie ma polegać na doprecyzowaniu dyspozycji dla tych samych albo bardziej szczegółowych hipotez, a więc to doprecyzowanie nie może polegać na przyjęciu rozwiązań, które były by niezgodne z dyspozycjami rodo, dążącymi do ochrony prywatności. Regulacja niezgodna nie wyłączy rodo, bo wobec aktu wyższego rzędu nie działa reguła lex specialis… Skoro tak, to każdą regulację krajową która wpływa na prywatność osoby, należy porównywać z rodo i oceniać, czy uszczegółowienie nie zmieniło się w ograniczenie. Uszczegółowienie o którym mowa w art. 6 ust. 2-3 i art. 88 rodo, nie może oznaczać tego samego co ograniczenie o którym mowa w art. 23 rodo, czyli nie może to być modyfikacja ograniczająca cel rodo jakim jest ochrona prywatności. Za wnioskiem, że art. 88 nie może stanowić o ograniczeniu przemawia również porównanie go z art. 85, gdzie jest mowa o określaniu odstępstw i wyjątków od przepisów rodo – przez to porównanie widać jeszcze wyraźniej, że art. 88 nie daje kompetencji do określania odstępstw i wyjątków. Art. 85 jest więc podobny charakterem do art. 23, a porównanie ich zakresów zastosowania i normowania prowadzi do wniosku, że tu nie mamy do czynienia z superfluum.
Z tym że według mnie art. 6 ust. 2 rodo jest nieco „pustym” przepisem ponieważ nie stanowi kompetencji, której ustawodawca krajowy nie posiada również bez niego. Z samej pozycji ustrojowej ustawodawcy krajowego wynika, że może stanowić prawo, byle by nie było niezgodne z prawem europejskim, czyli przepis ten nie ma wartości konstytutywnej, a deklaratywną. Przecież ustawodawca krajowy nie potrzebuje podstawy kompetencyjnej z art. 6 ust. 2 rodo, żeby uregulować w prawie bilansowym czy podatkowym, jak długo ma być przechowywania faktura, inne dokumenty księgowe, czy dowody w postaci umów, zawierające dane osobowe, świadczące o zdarzeniu gospodarczym. Nie oznacza to wszelako, że może uchwalać regulacje niezgodne z rodo.
Kompetencja do ograniczenia stosowania rodo
Co innego art. 23 rodo, ten stanowi bowiem kompetencję do ograniczenia ochrony prywatności, bez niego ustawodawca krajowy nie mógłby ograniczać stosowania rodo. Dlatego uregulowanie retencji, musi być oceniane z punktu widzenia rodo, a jeżeli stanowi ograniczenie stosowania rodo, to jest legalne o ile znajdzie się usprawiedliwienie w wyliczonych w art. 23 ust. 1 rodo przesłankach. Przy czym samo ustalenie, że rozwiązanie krajowe narusza rodo, jest dość karkołomne w przypadku retencji, trzeba by stwierdzić, że konkretny, przyjęty okres przechowywania jest dłuższy niż jest to niezbędne do celów, w których dane są przetwarzane – i teraz kto i jak wykaże że np. 10 lat to za dużo bo cel może być osiągnięty w 7. Natomiast okresy absurdalnie długie mogą być ocenione jako naruszenie, niejako prima facie. Przy tej okazji widać też różnicę między kompetencjami ustawodawcy krajowego i podmiotów uczestniczących w przetwarzaniu – te drugie nie mają kompetencji do ograniczenia stosowania rodo, chociaż mogą (a nawet są zmuszone) rodo uszczegóławiać przez tworzenie własnych dokumentacji i przyjmowanie kodeksów branżowych, przy udziale organu nadzorczego, który stwierdzi zgodność kodeksu z rodo, czyli że rodo jest przez kodeks uszczegółowione, a nie ograniczone.
W przypadku retencji, również stwierdzenie naruszenia ma swoiste konsekwencje. Normalnie należało by stosować bezpośrednio akt stojący wyżej w hierarchii źródeł prawa (rodo), ale akt ten nie wyznacza żadnego konkretnego okresu retencji – w praktyce zostaje więc prawo krajowe dopóki nie zostanie zmienione, bo trudno oczekiwać żeby adresaci norm, a nawet organy orzekające, na własną rękę wyznaczali okresy retencji, wbrew wyraźnym (kwotowym) dyspozycjom prawa krajowego.