Jakiś czas temu zostałem poproszony o komentarz do sprawy karnej dotyczącej rektora jednej z prywatnych warszawskich uczelni wyższych (już nieistniejącej), oskarżonego w styczniu br. o przestępstwo z art. 51 ust. 1 ustawy z dnia 19 sierpnia 1997 r. o ochronie danych osobowych, który brzmiał:
Kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.
Rektora oskarżono o to, że w okresie od stycznia do sierpnia 2017 roku w siedzibie wyższej szkoły, jako administrator danych osobowych, naruszył obowiązek zabezpieczenia danych, w szczególności przed ich udostępnieniem osobom nieuprawnionym, zabraniem ich przez takie osoby, a także uszkodzeniem oraz zniszczeniem.
Pomimo tego, że uczelnia została zamknięta w 2016 r., to bez problemu można było wejść do jej byłej siedziby, w której dostęp do wszystkich dokumentów i sprzętu komputerowego był całkowicie swobodny dla osób trzecich. W budynku pozostawiono bowiem niezabezpieczone w żaden sposób całe szafy dokumentów z danymi osobowymi studentów i ich zdjęciami, w tym studenckie indeksy i prace licencjackie. Papiery leżały na podłogach, powyrzucane z szaf, a w budynku pomieszkiwali bezdomni.
Prowadzone przeciwko rektorowi postępowanie karne zostało ostatecznie umorzone przez sąd, a rektor nie poniesie odpowiedzialności karnej z uwagi na wejście w życie w dniu 25 maja 2018 r. Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenie dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, dalej zwane RODO), czego konsekwencją było przyjęcie przez polskiego ustawodawcę ustawy z dnia 10 maja 2018 r. mającej na celu ujednolicenie polskich przepisów dotyczących ochrony danych osobowych, która z dniem 25 maja 2018 r. uchyliła częściowo ustawę z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, w tym art. 51 tejże ustawy, który stanowił podstawę do postawienia rektora w stan oskarżenia.
Jak to się jednak ma do ogólnej zasady prawnej lex retro non agit, oznaczającej, że prawo nie działa wstecz, tj. nie ma zastosowania do sytuacji zaistniałych przed jego wejściem w życie? Czy skoro przepis obowiązywał w chwili popełnienia przez rektora czynu zabronionego, to powinien ponieść odpowiedzialność karną za przestępstwo, którego de facto się dopuścił?
Otóż nie, polskie prawo karne rządzi sie swoimi regułami i zgodnie z art. 4 § 1 Kodeksu karnego:
Jeżeli w czasie orzekania obowiązuje ustawa inna niż w czasie popełnienia przestępstwa, stosuje się ustawę nową, jednakże należy stosować ustawę obowiązującą poprzednio, jeżeli jest względniejsza dla sprawcy.
Powyższy przepis znalazł zastosowanie w przedmiotowej sprawie, bowiem w trakcie trwania postępowania karnego przeciwko rektorowi doszło do depenalizacji zarzucanego mu czynu zabronionego, czyli polski ustawodawca ujednolicając przepisy dotyczące ochrony danych osobowych, dostosowując je do RODO, zrezygnował z karalności przestępstwa stypizowanego niegdyś w art. 51 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.
W konsekwencji doszło do kuriozalnej wręcz sytuacji, ponieważ dzięki RODO bohater (a raczej antybohater!) niniejszego artykułu nie poniesie odpowiedzialności karnej, pomimo tego, że jako administrator danych osobowych naruszył obowiązek zabezpieczenia danych, w szczególności przed ich udostępnieniem osobom nieuprawnionym, zabraniem ich przez takie osoby, a także uszkodzeniem oraz zniszczeniem. Co więcej, nie poniesie również odpowiedzialności na gruncie obowiązywania bezpośrednio przepisów RODO, bo te z kolei zaczęły obowiązywać dopiero z dniem 25 maja 2018 r. i zgodnie z zasadą lex retro non agit nie znajdują zastosowanie do zdarzeń wcześniejszych.
I tak oto RODO, które wprowadza zmiany w prawie, które nakładają na firmy i instytucje większy rygor ochrony danych osobowych, paradoksalnie w tym wypadku zadziałały na korzyść rektora upadłej uczelni.
