RODO w projektach unijnych: odmowa i dalsze kroki prawne

Realizacja projektów współfinansowanych ze środków Unii Europejskiej nakłada na beneficjentów oraz instytucje wdrażające szereg rygorystycznych obowiązków w zakresie ochrony danych osobowych. Proces ten reguluje przede wszystkim Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) oraz krajowe przepisy prawa, w tym ustawa o ochronie danych osobowych. W praktyce wdrażania funduszy unijnych często dochodzi do kolizji między obowiązkiem zapewnienia pełnej przejrzystości finansowej a prawem uczestników projektów do ochrony ich prywatności. Beneficjenci, występujący nierzadko jako podmioty przetwarzające lub współadministratorzy, stają przed dylematem, jak reagować na wnioski o realizację praw przysługujących osobom, których dane dotyczą. Odmowa udostępnienia danych, usunięcia informacji czy ograniczenia przetwarzania musi mieć zawsze silne oparcie w przepisach prawa. W niniejszym artykule szczegółowo analizujemy procedury, terminy oraz kroki odwoławcze, jakie przysługują wnioskodawcom w przypadku otrzymania odmowy w ramach projektów unijnych.

Specyfika przetwarzania danych osobowych w projektach unijnych

Przetwarzanie danych osobowych w projektach unijnych charakteryzuje się skomplikowaną strukturą zarządczą. Kluczowym elementem jest prawidłowe zidentyfikowanie ról poszczególnych podmiotów. W większości programów operacyjnych głównym Administratorem Danych Osobowych (ADO) jest właściwy minister (np. Minister Funduszy i Polityki Regionalnej) lub Zarząd Województwa pełniący funkcję Instytucji Zarządzającej (IZ). Beneficjent, czyli podmiot realizujący projekt na podstawie umowy o dofinansowanie, najczęściej przetwarza dane osobowe na podstawie umowy powierzenia przetwarzania danych (art. 28 RODO) lub na mocy przepisów szczególnych jako współadministrator.

Podstawą prawną przetwarzania danych uczestników projektów unijnych jest najczęściej art. 6 ust. 1 lit. c RODO (przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze) oraz art. 6 ust. 1 lit. e RODO (przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej). Obowiązki te wynikają bezpośrednio z unijnych rozporządzeń ogólnych dotyczących funduszy strukturalnych oraz krajowej ustawy wdrożeniowej. Oznacza to, że zgoda uczestnika (art. 6 ust. 1 lit. a RODO) rzadko stanowi podstawę przetwarzania w tych projektach, co ma fundamentalne znaczenie przy rozpatrywaniu wniosków o usunięcie danych.

Warto również zauważyć, że struktura ta rodzi poważne konsekwencje dla samych uczestników. Zgłaszając się do projektu, podpisują oni zazwyczaj deklaracje uczestnictwa zawierające klauzule informacyjne. Często błędnie interpretują te dokumenty jako wyrażenie zgody, którą można w każdej chwili wycofać. W rzeczywistości, podpisanie deklaracji jest jedynie potwierdzeniem zapoznania się z obowiązkiem informacyjnym, a samo przetwarzanie opiera się na przepisach prawa, co znacznie ogranicza możliwość żądania zaprzestania przetwarzania danych w trakcie trwania projektu oraz po jego zakończeniu.

Najczęstsze przyczyny odmowy realizacji praw osób, których dane dotyczą

Osoby uczestniczące w projektach unijnych (np. szkoleniach, stażach, doradztwie) lub personel projektu posiadają uprawnienia wynikające z RODO. Jednakże, specyfika funduszy europejskich ogranicza niektóre z tych praw, co skutkuje prawnie uzasadnionymi odmowami ze strony administratorów. Do najczęstszych sytuacji należą:

1. Odmowa usunięcia danych (art. 17 RODO)

Uczestnicy projektów często domagają się usunięcia swoich danych osobowych zaraz po zakończeniu udziału w projekcie. Administratorzy odmawiają realizacji tego prawa, powołując się na art. 17 ust. 3 lit. b RODO (wywiązanie się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego). Projekty unijne podlegają rygorystycznym zasadom archiwizacji i kontroli (często przez okres od 5 do 10 lat od zamknięcia programu operacyjnego). Przedwczesne usunięcie danych uniemożliwiłoby rozliczenie dotacji i mogłoby skutkować koniecznością zwrotu środków unijnych przez beneficjenta.

2. Odmowa dostępu do danych innych osób (art. 15 RODO)

Wnioskodawcy (np. konkurencyjni oferenci w przetargach projektowych lub inni uczestnicy) żądają dostępu do pełnej dokumentacji projektowej zawierającej dane osobowe osób trzecich. Odmowa następuje na podstawie art. 15 ust. 4 RODO, który stanowi, że prawo do uzyskania kopii danych nie może niekorzystnie wpływać na prawa i wolności innych osób. W takich przypadkach administrator musi dokonać anonimizacji dokumentów przed ich ewentualnym udostępnieniem, a jeśli jest to niemożliwe – wydać decyzję odmowną w zakresie danych osobowych osób trzecich.

3. Odmowa ograniczenia przetwarzania (art. 18 RODO)

Zgłoszenie żądania ograniczenia przetwarzania danych może zostać odrzucone, jeżeli przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń, bądź w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii lub państwa członkowskiego. W kontekście projektów unijnych, prawidłowe rozliczenie dotacji i zapobieganie nadużyciom finansowym stanowi istotny interes publiczny, co wyłącza możliwość skutecznego żądania ograniczenia przetwarzania w większości przypadków.

4. Odmowa przeniesienia danych (art. 20 RODO)

Prawo do przenoszenia danych przysługuje wyłącznie wtedy, gdy przetwarzanie odbywa się na podstawie zgody lub umowy, oraz w sposób zautomatyzowany. Ponieważ przetwarzanie w projektach unijnych opiera się na realizacji obowiązku prawnego i zadania publicznego, prawo to nie ma zastosowania, co stanowi automatyczną i w pełni legalną podstawę do odmowy ze strony administratora.

Obowiązki organu i beneficjenta przy wydawaniu odmowy

Każda odmowa realizacji wniosku opartego na przepisach RODO musi spełniać rygorystyczne standardy formalne i merytoryczne. Zgodnie z art. 12 ust. 4 RODO, jeżeli administrator nie podejmuje działań na żądanie osoby, której dane dotyczą, ma on obowiązek niezwłocznie – najpóźniej w terminie miesiąca od otrzymania żądania – poinformować tę osobę o powodach niepodjęcia działań.

Pismo zawierające odmowę musi spełniać następujące warunki:

Jasne i zrozumiałe uzasadnienie: Administrator musi precyzyjnie wskazać, dlaczego nie może spełnić żądania wnioskodawcy. Powoływanie się na ogólne formułki jest niewystarczające. Należy wskazać konkretne przepisy prawa unijnego lub krajowego (np. przepisy dotyczące archiwizacji dokumentacji projektowej, ustawy wdrożeniowej czy ustawy o finansach publicznych).
Pouczenie o prawie do wniesienia skargi: Pismo musi bezwzględnie zawierać informację o prawie do wniesienia skargi do organu nadzorczego, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (PUODO).
Pouczenie o prawie do środka ochrony prawnej przed sądem: Administrator musi poinformować wnioskodawcę o możliwości dochodzenia swoich praw przed sądem powszechnym lub administracyjnym.

Niedopełnienie któregokolwiek z powyższych obowiązków informacyjnych stanowi samodzielne naruszenie przepisów RODO i może być podstawą do nałożenia administracyjnej kary pieniężnej na administratora lub beneficjenta działającego w jego imieniu. Ponadto, brak pouczenia może skutkować przywróceniem terminów procesowych dla wnioskodawcy, który spóźnił się z wniesieniem odwołania z powodu błędu organu.

Procedura odwoławcza krok po kroku

W przypadku otrzymania decyzji odmownej lub w sytuacji, gdy organ bądź beneficjent nie odpowie na wniosek w ustawowym terminie, wnioskodawcy przysługują konkretne środki prawne. Poniżej przedstawiamy szczegółową procedurę odwoławczą.

Krok 1: Analiza formalna otrzymanego pisma

Pierwszym krokiem jest dokładna weryfikacja otrzymanej odmowy. Należy sprawdzić, czy pismo zostało podpisane przez osobę upoważnioną do reprezentowania administratora oraz czy zawiera pełne pouczenie o środkach odwoławczych. Ważne jest również ustalenie, czy podmiot, który wydał odmowę, jest rzeczywiście administratorem naszych danych, czy jedynie podmiotem przetwarzającym (beneficjentem). Jeśli odmowę wydał beneficjent, należy zweryfikować, czy posiadał on stosowne pełnomocnictwo od Instytucji Zarządzającej.

Krok 2: Kontakt z Inspektorem Ochrony Danych (IOD)

Przed formalnym wystąpieniem na drogę administracyjną lub sądową, kluczowym krokiem powinno być skontaktowanie się z Inspektorem Ochrony Danych (IOD) wyznaczonym u administratora. IOD pełni funkcję niezależnego doradcy i punktu kontaktowego. Jego zadaniem jest bezstronne zbadanie sprawy. Wniosek do IOD o zweryfikowanie prawidłowości odmowy może doprowadzić do szybkiego i polubownego rozwiązania problemu, jeśli beneficjent lub urzędnik niższego szczebla popełnił błąd interpretacyjny.

Krok 3: Złożenie wniosku o ponowne rozpatrzenie sprawy

W niektórych przypadkach, przed skierowaniem sprawy do organu nadzorczego, warto podjąć próbę polubownego rozwiązania sporu poprzez złożenie wniosku o ponowne rozpatrzenie sprawy do właściwego administratora (np. Instytucji Zarządzającej). W piśmie tym należy przedstawić dodatkowe argumenty wykazujące, że odmowa była nieuzasadniona. Krok ten nie jest jednak obowiązkowy i nie wstrzymuje biegu terminów na złożenie skargi do organu nadzorczego.

Krok 4: Skarga do Prezesa Urzędu Ochrony Danych Osobowych (PUODO)

Głównym instrumentem ochrony prawnej jest wniesienie skargi do Prezesa UODO. Skarga powinna być sporządzona na piśmie i zawierać dane skarżącego (imię, nazwisko, adres zamieszkania, PESEL), dane podmiotu, na który składana jest skarga (nazwa beneficjenta lub instytucji, adres siedziby), dokładny opis naruszenia (np. odmowa usunięcia danych mimo upływu okresu trwałości projektu), żądanie (np. nakazanie administratorowi usunięcia danych lub udostępnienia kopii danych) oraz podpis własnoręczny lub podpis elektroniczny (ePUAP). Postępowanie przed Prezesem UODO jest bezpłatne i kończy się wydaniem decyzji administracyjnej, w której organ może nakazać administratorowi spełnienie żądania wnioskodawcy.

Krok 5: Skarga do Wojewódzkiego Sądu Administracyjnego (WSA)

Jeżeli decyzja Prezesa UODO jest niesatysfakcjonująca, stronie przysługuje prawo do wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skargę wnosi się za pośrednictwem Prezesa UODO w terminie 30 dni od dnia doręczenia decyzji. Postępowanie przed sądem administracyjnym ma na celu zbadanie, czy organ nadzorczy prawidłowo zinterpretował i zastosował przepisy prawa.

Terminy, których należy bezwzględnie przestrzegać

W sprawach z zakresu ochrony danych osobowych w projektach unijnych kluczową rolę odgrywa czas. Przekroczenie terminów procesowych może skutkować odrzuceniem odwołania lub skargi z przyczyn formalnych, bez badania jej merytorycznej treści. Poniższa lista przedstawia najważniejsze terminy:

1 miesiąc: Podstawowy termin na udzielenie odpowiedzi przez administratora na wniosek o realizację praw RODO. Liczony jest od dnia otrzymania wniosku przez podmiot uprawniony.
3 miesiące: Maksymalny termin na odpowiedź w sprawach szczególnie skomplikowanych. Przedłużenie terminu wymaga poinformowania wnioskodawcy w ciągu pierwszego miesiąca wraz z podaniem przyczyn opóźnienia.
30 dni: Termin na wniesienie skargi do Wojewódzkiego Sądu Administracyjnego na decyzję Prezesa UODO (liczony od dnia doręczenia decyzji stronie skarżącej).
14 dni: Termin na złożenie zażalenia na postanowienia incydentalne wydawane w toku postępowania przed PUODO (np. postanowienie o odmowie wszczęcia postępowania).

Najczęstsze błędy popełniane przy odmowach i odwołaniach

Zarówno beneficjenci projektów unijnych, jak i sami wnioskodawcy popełniają liczne błędy proceduralne, które utrudniają lub uniemożliwiają skuteczne dochodzenie praw. Do najczęstszych uchybień należą:

Błędne adresowanie wniosków: Składanie żądań bezpośrednio do beneficjenta (np. małej firmy szkoleniowej), podczas gdy administratorem danych jest Urząd Marszałkowski. Beneficjent powinien niezwłocznie przekazać taki wniosek do ADO, jednak w praktyce często dochodzi do opóźnień lub bezprawnych odmów wydawanych przez podmiot nieuprawniony.
Brak wykazania interesu prawnego przy żądaniach dostępu: Wnioskodawcy domagający się dokumentów projektowych często zapominają, że RODO chroni prywatność wszystkich uczestników. Bez wykazania szczególnej podstawy prawnej, organ nie może udostępnić danych innych osób.
Ignorowanie terminów przez administratorów: Brak jakiejkolwiek odpowiedzi na wniosek w ciągu miesiąca (tzw. bezczynność organu). W takiej sytuacji wnioskodawca może od razu złożyć skargę do PUODO na bezczynność administratora, co uruchamia procedurę dyscyplinującą.
Niewłaściwe uzasadnienie odmowy: Ograniczenie się przez beneficjenta do stwierdzenia "nie, bo projekt jest unijny" bez wskazania konkretnych wytycznych programowych lub przepisów prawa krajowego i unijnego dotyczących okresu trwałości projektu i archiwizacji.
Brak pouczenia o środkach odwoławczych: Pomijanie w pismach odmownych informacji o prawie do skargi do PUODO oraz drodze sądowej, co stanowi bezpośrednie naruszenie art. 12 ust. 4 RODO.

Praktyczny przykład (Case Study)

Stan faktyczny: Pani Anna uczestniczyła w projekcie szkoleniowym pt. "Cyfrowy Start", współfinansowanym z Europejskiego Funduszu Społecznego. Projekt był realizowany przez Fundację Rozwoju (Beneficjent) na zlecenie Wojewódzkiego Urzędu Pracy (Instytucja Pośrednicząca / Administrator Danych). Rok po zakończeniu udziału w szkoleniu, Pani Anna złożyła do Fundacji Rozwoju pisemny wniosek o usunięcie wszystkich jej danych osobowych z bazy projektowej, powołując się na prawo do bycia zapomnianym (art. 17 RODO).

Działanie Beneficjenta: Fundacja Rozwoju odpisała Pani Annie w terminie 2 tygodni, informując, że nie może usunąć jej danych, ponieważ projekt podlega kontroli i zgodnie z umową o dofinansowanie dokumentacja musi być przechowywana przez okres 5 lat od dnia zamknięcia programu operacyjnego. Fundacja nie zawarła jednak w piśmie żadnego pouczenia o prawie do wniesienia skargi do Prezesa UODO ani o prawie do ochrony sądowej.

Przebieg procedury odwoławczej: Pani Anna, niezadowolona z odpowiedzi, złożyła skargę do Prezesa UODO. Wskazała w niej, że Fundacja bezprawnie przetwarza jej dane i odmówiła ich usunięcia, a ponadto pismo nie zawierało wymaganych pouczeń.

Rozstrzygnięcie Prezesa UODO: Organ nadzorczy przeprowadził postępowanie wyjaśniające. PUODO uznał odmowę usunięcia danych za w pełni uzasadnioną. Podstawą przetwarzania danych Pani Anny był art. 6 ust. 1 lit. c RODO w związku z przepisami unijnymi nakładającymi obowiązek archiwizacji dokumentacji projektowej w celu kontroli wydatkowania środków publicznych. Prawo do usunięcia danych nie ma charakteru absolutnego i ustępuje przed obowiązkiem prawnym ciążącym na administratorze. Jednakże, Prezes UODO stwierdził naruszenie art. 12 ust. 4 RODO przez administratora, polegające na braku pouczenia Pani Anny o przysługujących jej środkach odwoławczych. Na Wojewódzki Urząd Pracy (jako administratora, w którego imieniu działał beneficjent) został nałożony upomnienie, a beneficjent został zobowiązany do wdrożenia procedur zapewniających zgodność udzielanych odpowiedzi z wymogami art. 12 RODO.

Podsumowanie i rekomendacje dla beneficjentów

Zarządzanie danymi osobowymi w projektach unijnych wymaga precyzyjnego wyważenia interesów beneficjentów, instytucji wdrażających oraz samych uczestników. Odmowa realizacji praw wynikających z RODO jest w wielu przypadkach koniecznością podyktowaną nadrzędnymi przepisami prawa unijnego dotyczącymi trwałości projektów i kontroli finansowej. Kluczowe jest jednak, aby każda odmowa była rzetelnie uzasadniona i zawierała kompletne pouczenia proceduralne. Beneficjenci powinni ściśle współpracować z Inspektorami Ochrony Danych (IOD) wyznaczonymi przez Instytucje Zarządzające, aby uniknąć błędów formalnych, które mogą prowadzić do długotrwałych postępowań przed Prezesem UODO lub sądami administracyjnymi. Z kolei uczestnicy projektów must mieć świadomość, że decydując się na udział w przedsięwzięciach finansowanych ze środków publicznych, ich dane będą przetwarzane przez ściśle określony przepisami czas, którego nie można skrócić na zwykłe żądanie.