Ograniczenia i wyłączenia stosowania ustawy cz. III

Zgodnie z art. 4 ustawy o ochronie danych osobowych przepisów ustawy nie stosuje się, jeżeli umowa międzynarodowa, której stroną jest Rzeczpospolita Polska, stanowi inaczej. Przepis ten bierze pod uwagę relację przepisów ustawy o ochronie danych osobowych do przepisów prawa międzynarodowego.

Niewątpliwie aktem prawa międzynarodowego odnoszącym się do ochrony danych osobowych, o którym należy wspomnieć jest Konwencja 108 o ochronie osób w związku z automatycznym przetwarzaniem danych osobowych podpisana w Strasburgu dn. 28 stycznia 1981 r[1]. Umowa ta została ratyfikowana przez Polskę, ale bez uprzedniej zgody wyrażonej w ustawie, co oznacza, że jej postanowienia nie mogą wyłączać zastosowania przepisów ustawy o ochronie danych osobowych. Normy zawarte w tej umowie międzynarodowej nie mają charakteru norm samowykonalnych[2].  Polska podpisała tę konwencję dnia 21 kwietnia 1999 r., a ratyfikowała dnia 24 kwietnia 2002 r., natomiast protokół dodatkowy został ratyfikowany w roku 2005. Analiza przepisów konwencji 108 oraz polskiej ustawy o ochronie danych osobowych pozwala przyjąć, że występujące w nich regulacje są zharmonizowane oraz że nie będzie zachodził przypadek, o którym stanowi art. 4 u.o.d.o[3].

Kolejną umową międzynarodową, której stroną jest Polska jest Europejska Konwencja Praw Człowieka[4]. Konwencja ta w art. 8 stanowi „1. Każdy ma prawo do poszanowania swojego życia prywatnego i rodzinnego, swojego mieszkania i swojej korespondencji. 2. Niedopuszczalna jest ingerencja władzy publicznej w korzystanie z tego prawa z wyjątkiem przypadków przewidzianych przez ustawę i koniecznych w demokratycznym społeczeństwie z uwagi na bezpieczeństwo państwowe, bezpieczeństwo publiczne lub dobrobyt gospodarczy kraju, ochronę porządku i zapobieganie przestępstwom, ochronę zdrowia i moralności lub ochronę praw i wolności osób.”. Normy EKPC (w tym także wyrażone w art. 10 w odniesieniu do swobody wyrażania opinii) stanowią dodatkowe wskazówki oraz granicę przy interpretacji postanowień komentowanej ustawy w takim zakresie, w jakim zawiera ona ograniczenia prawa do prywatności. Szczególne znaczenie dla stwierdzania, czy wynikające z ustawy ograniczenia w zakresie ochrony danych osobowych są zgodne z powołaną konwencją, mają orzeczenia sądu w Strasburgu[5]. Postanowienia EKPC i orzecznictwo ETPC ma również wpływ pośredni na wykładnię i stosowanie przepisów ustawy o ochronie danych osobowych, gdyż są one brane pod uwagę jako element zasad ogólnych prawa unijnego (art. 6 ust. 2 TUE) przy dokonywaniu wykładni przez TSUE postanowień dyrektywy 95/46/WE, których implementację do prawa polskiego stanowi ustawa o ochronie danych osobowych[6].

Inną regulacją, która ma wpływ na zastosowanie i wykładnię przepisów ustawy o ochronie danych osobowych jest ratyfikowany przez Polskę Międzynarodowy Pakt Praw Obywatelskich i Politycznych, otwarty do podpisu 19.12.1966 r. w Nowym Jorku, w szczególności zaś art. 17 tego aktu.

Warto wspomnieć również o dwustronnych umowach międzynarodowych, w których uregulowane zostały kwestie ochrony danych osobowych. (…) Cechą charakterystyczną wspomnianych regulacji jest to, że dotyczą one różnych obszarów współpracy między państwami-stronami, a kwestie odnoszące się do problematyki ochrony danych osobowych stanowią jedynie uzupełnienie (ogólnie określone są zazwyczaj w jednym artykule umowy, a uszczegółowione w załączniku do umowy), nie są jednak głównym przedmiotem regulacji[7].

O ile art. 4 u.o.d.o. dotyczy relacji zachodzących między prawem polskim a prawem międzynarodowym, o tyle art. 5  u.o.d.o. dotyczy relacji między normami prawa wewnętrznego. Przyjęta w komentowanym przepisie reguła służy realizacji dwóch postulatów w przypadku pojawienia się kolizji ustaw we wspomnianym zakresie[8]. Janusz Barta, Paweł Fajgielski i Ryszard Markiewicz wskazują, że po pierwsze, ustawodawca przyjmuje zasadę rozstrzygania zbiegu norm na korzyść tych norm, które przewidują wyższy poziom ochrony. Po drugie  autorzy komentarza do ustawy o ochronie danych osobowych doszukują się refleksu reguły kolizyjnej lex specialis derogat legi generali. Stosuje się ją wówczas, gdy mamy co prawda do czynienia z dwiema różnymi hipotezami i dwiema różnymi dyspozycjami, lecz cały, przynajmniej jeden, zakres (np. adresaci, okoliczności, zachowania) hipotezy lex specialis jest zawarty w hipotezie lex generalis, natomiast zakresy pozostałe mają przynajmniej częściowo wspólne elementy[9]. Ponadto, jak słusznie zauważono wyrażonej w art. 5 u.o.d.o. regule należy przyznać prymat przed innymi przyjmowanymi metodami usuwania sytuacji kolizyjnych; mamy na myśli np. przypadek, gdy przepisy przewidujące dalej idącą ochronę weszły w życie wcześniej niż komentowana ustawa. Nie znajdowałaby wówczas zastosowania powszechnie aprobowana zasada lex posterior derogat legi priori, a jedynym rozstrzygającym kryterium pozostawałoby to, którym przepisom można nadać miano przepisów ustanawiających intensywniejszą ochronę danych[10].

Sformułowaniem, które może przysporzyć problemów interpretacyjnych jest „norma przewidująca dalej idącą ochronę”. Aby przyjąć możliwość zastosowania przepisu art. 5 OchrDanOsU, poziom ochrony danych osobowych w ustawach zawierających szczegółową (specyficzną) regulację powinien być nie niższy niż ten przewidziany w komentowanej ustawie. Można pokusić się o stwierdzenie natury ogólnej, że normy regulacji sektorowych, ze względu na szczególne zagrożenia dla prywatności w tych dziedzinach, zawierają – co do zasady – przepisy przewidujące dalej idącą ochronę[11]. Najczęściej przepisy ustanawiające tajemnice zawodowe przewidują dalej idącą ochronę danych osobowych niż wynikająca z ustawy o.d.o. w zakresie udostępniania tych danych, co wyklucza stosowanie przepisów ustawy o.d.o. o udostępnieniu danych osobowych[12].