Czy art. 88 rodo stanowi superfluum w stosunku do art. 6 ust. 2 rodo. Jaki jest zakres kompetencji regulacyjnej państw członkowskich w kontekście zatrudnienia. Czy uregulowanie retencji w dowolny sposób, bez oglądania się na zasadę ograniczenia czasowego, narusza podstawę kompetencyjną z 88 rodo. Jakie są konsekwencje sprzeczności.

 Art. 6 ust. 2 dotyczy przesłanki z art. 6 ust. 1 lit. c i e – czyli ustawodawca krajowy w celu dostosowania stosowania przepisów rodo, może wprowadzić lub zachować bardziej szczegółowe przepisy nakładające obowiązki na administratora i takie które regulują wykonywanie zadań publicznych, oczywiście w zakresie w jakim regulują problematykę przetwarzania danych. Przy czym podstawa z art. 6 ust. 1 lit. c nie dotyczy wyłącznie podmiotów z sektora publicznego tak jak podstawa z lit. e. Art. 6 ust. 1 lit. c dotyczy również podmiotów prywatnych w tym prywatnych pracodawców, a obowiązki te są formułowane zarówno przez ustawy o charakterze prywatno jak i publicznoprawnym, a także mieszanym, co występuje najczęściej. „Dostosowanie stosowania przepisów rodo” oznacza po prostu zapewnienie (umożliwienie) stosowania przepisów rodo, które miejscami są zbyt ogólne, a samo stosowanie przepisów rodo, ma na celu ochronę praw i wolności podmiotu danych – ochronę prywatności. Dodatkowo art. 6 ust. 2 zd. 2 precyzuje na czym ma polegać to uszczegółowienie, mianowicie na określeniu wymogów przetwarzania i innych środków, w celu zapewnienia zgodności przetwarzania z prawem i jego rzetelności (mówiąc ogólnie w celu ochrony prywatności). Dla przetwarzania niesprecyzowanego przez ustawodawstwo krajowe, to sam administrator musi sobie dostosować stosowanie przepisów rodo, aby można było mówić o ich wykonaniu i spełnieniu ich celu, i również administrator tak jak ustawodawca krajowy nie może ograniczać stosowania rodo. Gdyby ustawodawca europejski nie zdecydował się pozostawić znacznego obszaru prawa do samodzielnej regulacji ustawodawcy krajowemu i podmiotom uczestniczącym w przetwarzaniu, musiałby samo rodo napisać znacznie bardziej precyzyjnie i ingerować w tysiące ustaw poszczególnych krajów członkowskich. Zrezygnowanie z przyjętej dozy ogólności sprawiło by również, że rodo przestało by być aktem, zdolnym adaptować się do zmieniających się warunków.

Art. 88 rodo mówi o przyjęciu przepisów szczegółowych mających na celu zapewnienia ochrony praw i wolności podmiotu danych (stosowania przepisów rodo) w zatrudnieniu, czyli powtarza to samo co art. 6 ust. 2, trochę innymi słowami, ponieważ ten przez odwołanie do ust. 1 lit. c, mówiąc o wszelkich sytuacjach nałożenia obowiązku na administratora, mówi m.in. o stosunkach zatrudnienia. I tu również w ust. 2 zostaje sprecyzowane na czym ma polegać uszczegółowienie, mianowicie na przyjęciu środków w celach wymienionych w tej jednostce redakcyjnej, które można zbiorczo określić jako ochroną prywatności, czyli ogólny przedmiot regulacji rodo. Oznacza to, że art. 6 ust. 2 rodo ma po prostu szerszy zakres zastosowania i konsumuje art. 88 rodo – obydwa za cel stawiają umożliwienie ochrony prywatności. 

Owszem art. 88 rodo wymienia kilka innych sfer, które nie podpadają pod podstawę z art. 6 ust. 1 lit. c, jak np. rekrutacja (choć tu ustawodawca krajowy zmienił zwrot „może żądać” na „żąda” co ma umożliwić oparcie rekrutacji na lit. c – ta zmiana językowa nie zmienia jednak istoty rzeczy, która polega na tym, że rekrutacja nie jest obowiązkiem a uprawnieniem, do zatrudnienia co do zasady może bowiem dojść bez rekrutacji) czy wykonanie umowy o pracę, ale w tych sferach nawet bez podstawy kompetencyjnej ustawodawca krajowy ma ustrojową kompetencję do tworzenia prawa, które nie jest niezgodne z prawem europejskim.

Natomiast zakres kompetencji regulacyjnej państw członkowskich wynikający z tych przepisów (art. 6 ust. 2 i art. 88 rodo) jest taki sam i jedynym wskaźnikiem, który go wyznacza jest zwrot „wprowadzić/zawrzeć bardziej szczegółowe przepisy”. „Uszczegółowić” znaczy w tym kontekście oczywiście coś innego niż przyjęcie przepisów szczególnych w systemie krajowym, bo te są właśnie przyjmowana dla sytuacji odmiennych, nie uregulowanych w przepisach krajowych, które w tej konfiguracji mają charakter ogólny, czyli porównując krajowy przepis szczególny z ogólnym powiemy tak jak niekiedy TK w wyroku o braku niezgodności, że nie są niezgodne (relacja braku adekwatności/błędne wskazanie wzorca), ponieważ zakresy ich hipotez nie krzyżują się. Tak przynajmniej powinno to wyglądać przy idealnej technice prawodawczej, co oczywiście jest w praktyce nieosiągalne, i hipotezy się powielają albo przynajmniej zawierają, ale działająca reguła lex specialis.. załatwia sprawę. W przypadku relacji rodo – prawo krajowe, uszczegółowienie ma polegać na doprecyzowaniu dyspozycji dla tych samych hipotez, a więc to doprecyzowanie nie może polegać na przyjęciu rozwiązań, które były by niezgodne z dyspozycjami rodo, dążącymi do ochrony prywatności. Regulacja niezgodna nie wyłączy rodo, bo wobec aktu wyższego rzędu nie działa reguła lex specialis… Skoro tak, to każdą regulację krajową która wpływa na prywatność osoby, należy porównywać z rodo i oceniać, czy uszczegółowienie nie zmieniło się w ograniczenie. Uszczegółowienie o którym mowa w art. 6 ust. 2-3 i art. 88 rodo, nie może oznaczać tego samego co ograniczenie o którym mowa w art. 23 rodo, czyli nie może to być modyfikacja ograniczająca cel rodo jakim jest ochrona prywatności. Za wnioskiem, że art. 88 nie może stanowić o ograniczeniu przemawia również porównanie go z art. 85, gdzie jest mowa o określaniu odstępstw i wyjątków od przepisów rodo – przez to porównanie widać jeszcze wyraźniej, że art. 88 nie daje kompetencji do określania odstępstw i wyjątków. Art. 85 jest więc podobny charakterem do art. 23, a porównanie ich zakresów zastosowania i normowania prowadzi do wniosku, że tu nie mamy do czynienia z superfluum.

Z tym że według mnie art. 6 ust. 2 rodo jest nieco „pustym” przepisem ponieważ nie stanowi kompetencji, której ustawodawca krajowy nie posiada również bez niego. Z samej pozycji ustrojowej ustawodawcy krajowego wynika, że może stanowić prawo, byle by nie było niezgodne z prawem europejskim, czyli przepis ten nie ma wartości konstytutywnej, a deklaratywną. Przecież ustawodawca krajowy nie potrzebuje podstawy kompetencyjnej z art. 6 ust. 2 rodo, żeby uregulować w prawie bilansowym czy podatkowym, jak długo ma być przechowywania faktura, inne dokumenty księgowe, czy dowody w postaci umów, zawierające dane osobowe, świadczące o zdarzeniu gospodarczym. Nie oznacza to wszelako, że może uchwalać regulacje niezgodne z rodo.

Co innego art. 23 rodo, ten stanowi bowiem kompetencję do ograniczenia ochrony prywatności, bez niego ustawodawca krajowy nie mógłby ograniczać stosowania rodo. Dlatego uregulowanie retencji, musi być oceniane z punktu widzenia rodo, a jeżeli stanowi ograniczenie stosowania rodo, to jest legalne o ile znajdzie się usprawiedliwienie w wyliczonych w art. 23 ust. 1 rodo przesłankach. Przy czym samo ustalenie, że rozwiązanie krajowe narusza rodo, jest dość karkołomne w przypadku retencji, trzeba by stwierdzić, że konkretny, przyjęty okres przechowywania jest dłuższy niż jest to niezbędne do celów, w których dane są przetwarzane – i teraz kto i jak wykaże że np. 10 lat to za dużo bo cel może być osiągnięty w 7. Natomiast okresy absurdalnie długie mogą być ocenione jako naruszenie, niejako prima facie. Przy tej okazji widać też różnicę między kompetencjami ustawodawcy krajowego i podmiotów uczestniczących w przetwarzaniu – te drugie nie mają kompetencji do ograniczenia stosowania rodo, chociaż mogą (a nawet są zmuszone) rodo uszczegóławiać przez tworzenie własnych dokumentacji i przyjmowanie kodeksów branżowych, przy udziale organu nadzorczego, który stwierdzi zgodność kodeksu z rodo, czyli że rodo jest przez kodeks uszczegółowione, a nie ograniczone.

W przypadku retencji, również stwierdzenie naruszenia ma swoiste konsekwencje. Normalnie należało by stosować bezpośrednio akt stojący wyżej w hierarchii źródeł prawa (rodo), ale akt ten nie wyznacza żadnego konkretnego okresu retencji – w praktyce zostaje więc prawo krajowe dopóki nie zostanie zmienione, bo trudno oczekiwać żeby adresaci norm, a nawet organy orzekające, na własną rękę wyznaczali okresy retencji, wbrew wyraźnym (kwotowym) dyspozycjom prawa krajowego.