Prawo i podatki

Kontrola UODO w zakresie przestrzegania ochrony danych osobowych

Wprowadzanie

W ramach dotychczasowych analiz postępowań kontrolnych zostały poprzednio omówione ogólne zasady przeprowadzania kontroli na gruncie ustawy – Prawo przedsiębiorców, a także szczególne postępowania kontrolne przeprowadzane przez sanepid, ZUS oraz PIP. Kontynuując tę serię, w ramach niniejszego opracowania zostanie przedstawiona charakterystyka kontroli Prezesa Urzędu Ochrony Danych Osobowych (UODO) w zakresie przestrzegania przez organizacje przepisów dotyczących ochrony tych danych, a więc głównie RODO oraz ustawy z dnia 10 maja 2018 roku – o ochronie danych osobowych (Dz. U. z 2019 roku, poz. 1781), dalej: „u.o.d.o.” lub „ustawa”. Kontrola z zakresu przestrzegania danych osobowych może mieć bardzo dotkliwe konsekwencje dla przedsiębiorcy, gdyż stwierdzenia naruszeń przepisów RODO mogą prowadzić zarówno do odpowiedzialności cywilnej, administracyjnej, jak i karnej, które dodatkowo wzajemnie się nie wykluczają (mogą zostać zastosowane jednocześnie w ramach jednego naruszenia). Szerzej temat ten został omówiony w ramach jednego z wcześniejszych opracowań, które zamieszczone jest na naszym blogu (http://okolicebiznesu.pl/odpowiedzialnosc-prawna-i-mozliwe-sankcje-z-tytulu-naruszenia-przepisow-rodo/). Warto zatem przyjrzeć się bliżej postępowaniu kontrolnemu prowadzonemu przez UODO, aby móc się do niego lepiej przygotować.

Wszczęcie postępowania kontrolnego

Jak już zostało wspomniane, organem uprawnionym do kontroli w zakresie przestrzegania ochrony danych osobowych jest Prezes UODO. Wynika to z art. 78 ust. 1 u.o.d.o. Zgodnie z ust. 2 tego artykułu, kontrolę prowadzi się zgodnie z zatwierdzonym przez Prezesa Urzędu planem kontroli lub na podstawie uzyskanych przez Prezesa Urzędu informacji lub w ramach monitorowania przestrzegania stosowania rozporządzenia 2016/679 (RODO). Istnieją zatem trzy ścieżki zainicjowania postępowania kontrolnego. Podstawowym i zasadniczo stosowanym jest przyjęty plan kontroli, który jest ogłaszany w styczniu każdego roku na stronie UODO (https://uodo.gov.pl/pl). W tym roku, z uwagi na nadzwyczajną sytuację taki plan się jednak nie pojawił. w odpowiedzi na skierowane zapytanie, w odpowiedzi na indywidualnie skierowane zapytanie, Prezes UODO poinformował, że z powodu stanu epidemii COVID-19 nie opracował planów kontroli sektorowych na rok 2021, zaś plany mają być sporządzone wtedy, gdy sytuacja epidemiczna pozwoli na bezpieczne przeprowadzenie kontroli. W 2020 plan obejmował kontrole sektorowe w bankach pod kątem kopiowania dokumentów tożsamości, podmiotach korzystających z systemu zdalnego odczytu wodomierzy oraz organach przetwarzających dane osobowe w Systemie Informacyjnym Schengen i Wizowym Systemie Informacyjnym, tj. konsulatach i administracji skarbowej (https://uodo.gov.pl/pl/138/1302), zaś w 2019 roku kontrole dotyczyły m.in. Policji, aresztów śledczych, Straży Granicznej, informacji zawartych w BIP, a także kontynuacji kontroli monitoringu wizyjnego z 2018 roku (https://uodo.gov.pl/pl/138/679). Kontrola na podstawie uzyskanych przez Prezesa Urzędu informacji jest wszczynana zazwyczaj po skierowaniu przez osobę, której dane dotyczą, bądź innego podmiotu zainteresowanego, indywidualnej skargi bądź zawiadomienia o możliwości naruszenia danych osobowych. Z kolei trzecia ścieżka, czyli w przeprowadzenie kontroli ramach monitorowania przestrzegania stosowania rozporządzenia, jest uruchamiana w razie stwierdzenia przez UODO, że również w innym podmiocie, nieobjętym planem kontroli lub zawiadomieniem, mogą być naruszane dane osobowe. Oczywiście kontroli nie przeprowadza osobiście sam Prezes UODO – zgodnie z art. 79 ust. 1 ustawy, czynności wykonuje upoważniony przez Prezesa Urzędu pracownik Urzędu,

bądź członek lub pracownik organu nadzorczego państwa członkowskiego Unii Europejskiej w przypadku wspólnych operacji organów nadzorczych różnych państw UE. Niezależnie jednak, kim personalnie jest kontrolujący, jest on rzecz jasna obowiązany do zachowania w tajemnicy informacji, o których dowiedział się w toku kontroli (art. 79 ust. 2 ustawy). Jak wynika z art. 80 ust. 1 u.o.d.o., dany kontrolujący może zostać wyłączony z udziału w kontroli jeśli:

  1. wyniki kontroli mogłyby oddziaływać na prawa lub obowiązki jego, jego małżonka, osoby pozostającej z nim faktycznie we wspólnym pożyciu, krewnego i powinowatego do drugiego stopnia albo na osoby związanej z nim z tytułu przysposobienia, opieki albo kurateli;
  2. zachodzą uzasadnione wątpliwości co do jego bezstronności.

Wyłączenie może nastąpić zarówno z urzędu, jak i na wniosek kontrolowanego lub kontrolującego. Rozstrzygnięcie w takiej sprawie podejmuje Prezes UODO, zaś do czasu wydania postanowienia kontrolujący podejmuje wyłącznie czynności niecierpiące zwłoki. Ponadto, stosownie do treści art. 82 ust. 1 zd. 1 u.o.d.o., Prezes Urzędu może upoważnić do udziału w kontroli osobę posiadającą wiedzę specjalistyczną, jeżeli przeprowadzenie czynności kontrolnych wymaga takiej wiedzy. Wiedza specjalistyczna może dotyczyć różnych dziedzin, jednak musi mieć ona związek z zakresem kontroli. Jak wskazuje M. Kluska, zakres, w którym Prezes Urzędu może sięgnąć po zewnętrzną pomoc, jest potencjalnie niezwykle szeroki, choć w praktyce, ze względu na specyfikę i charakter organu, takim obszarem specjalistycznym będzie obszar IT. Co więcej, taka osoba, podobnie jak kontrolujący, również jest obowiązana do zachowania w tajemnicy informacji, o których dowiedziała się w toku kontroli (art. 82 ust. 3 ustawy).

Przebieg kontroli

Jak wynika z treści art. 81 ust. 1 u.o.d.o., kontrolę przeprowadza się po okazaniu imiennego upoważnienia wraz z legitymacją służbową, a w przypadku kontrolującego, o którym mowa w art. 79 ust. 1 pkt 2, po okazaniu imiennego upoważnienia wraz z dokumentem potwierdzającym tożsamość. Wedle art. 81 ust. 2 ustawy, imienne upoważnienie do przeprowadzenia kontroli zawiera:

  1. wskazanie podstawy prawnej przeprowadzenia kontroli;
  2. oznaczenie organu;
  3. imię i nazwisko, stanowisko służbowe kontrolującego oraz numer legitymacji służbowej, a w przypadku kontrolującego, o którym mowa w art. 79 ust. 1 pkt 2, imię i nazwisko oraz numer dokumentu potwierdzającego tożsamość;
  4. określenie zakresu przedmiotowego kontroli;
  5. oznaczenie kontrolowanego;
  6. wskazanie daty rozpoczęcia i przewidywanego terminu zakończenia czynności kontrolnych;
  7. podpis Prezesa Urzędu;
  8. pouczenie kontrolowanego o jego prawach i obowiązkach;
  9. datę i miejsce jego wystawienia.

Zgodnie z art. 83 ust. 1 u.o.d.o., czynności kontrolnych dokonuje się w obecności kontrolowanego lub osoby przez niego upoważnionej. Przy czym w przypadku upoważnienia przez kontrolowanego danej osoby, kontrolowany jest obowiązany do pisemnego wskazania takiej osoby upoważnionej do reprezentowania go w trakcie kontroli (art. 83 ust. 2 u.o.d.o.). Jednakże w razie nieobecności kontrolowanego lub osoby przez niego upoważnionej, upoważnienie do przeprowadzenia kontroli oraz legitymacja służbowa lub dokument potwierdzający tożsamość mogą być okazane:

  1. osobie czynnej w lokalu przedsiębiorstwa w rozumieniu art. 97 ustawy z dnia 23 kwietnia 1964 r. – Kodeks cywilny (Dz. U. z 2019 r. poz. 1145 i 1495) lub
  2. przywołanemu świadkowi, jeżeli jest funkcjonariuszem publicznym w rozumieniu art. 115 § 13 ustawy z dnia 6 czerwca 1997 r. – Kodeks karny (Dz. U. z 2018 r. poz. 1600, z późn. zm.), niebędącemu pracownikiem Urzędu albo osobą, o której mowa w art. 80 ust. 1.

Zgodnie z art. 97 Kodeksu cywilnego, osobę czynną w lokalu przedsiębiorstwa przeznaczonym do obsługiwania publiczności poczytuje się w razie wątpliwości za umocowaną do dokonywania czynności prawnych, które zazwyczaj bywają dokonywane z osobami korzystającymi z usług tego przedsiębiorstwa. Jak wskazuje D. Lubasz, przykładowo osobą taką może być recepcjonista czy sprzedawca.

Z kolei świadkiem może być jedynie funkcjonariusz publiczny w rozumieniu art. 115 § 13 Kodeksu karnego, który stanowi: „(…) §  13.           Funkcjonariuszem publicznym jest:

1) Prezydent Rzeczypospolitej Polskiej;

2) poseł, senator, radny;

2a)  poseł do Parlamentu Europejskiego;

  • sędzia, ławnik, prokurator, funkcjonariusz finansowego organu postępowania przygotowawczego lub organu nadrzędnego nad finansowym organem postępowania przygotowawczego, notariusz, komornik, kurator sądowy, syndyk, nadzorca sądowy i zarządca, osoba orzekająca w organach dyscyplinarnych działających na podstawie ustawy;
  • osoba będąca pracownikiem administracji rządowej, innego organu państwowego lub samorządu terytorialnego, chyba że pełni wyłącznie czynności usługowe, a także inna osoba w zakresie, w którym uprawniona jest do wydawania decyzji administracyjnych;
  • osoba będąca pracownikiem organu kontroli państwowej lub organu kontroli samorządu terytorialnego, chyba że pełni wyłącznie czynności usługowe;
  • osoba zajmująca kierownicze stanowisko w innej instytucji państwowej;
  • funkcjonariusz organu powołanego do ochrony bezpieczeństwa publicznego albo funkcjonariusz Służby Więziennej;
  • osoba pełniąca czynną służbę wojskową, z wyjątkiem terytorialnej służby wojskowej pełnionej dyspozycyjnie;
  • pracownik międzynarodowego trybunału karnego, chyba że pełni wyłącznie czynności usługowe. (…)”.

Zwykle jednak w danym przedsiębiorstwie będą przebywali jego pracownicy, zatem przywoływanie świadka będącego funkcjonariuszem publicznym jest w praktyce mało realne.

Jak wynika z treści art. 84 ust. 1 u.o.d.o.:

„Kontrolujący ma prawo:

  1. wstępu w godzinach od 600 do 2200 na grunt oraz do budynków, lokali lub innych pomieszczeń;
  2. wglądu do dokumentów i informacji mających bezpośredni związek z zakresem przedmiotowym kontroli;
  3. przeprowadzania oględzin miejsc, przedmiotów, urządzeń, nośników oraz systemów informatycznych lub teleinformatycznych służących do przetwarzania danych;
  4. żądać złożenia pisemnych lub ustnych wyjaśnień oraz przesłuchiwać w charakterze świadka osoby w zakresie niezbędnym do ustalenia stanu faktycznego;
  5. zlecać sporządzanie ekspertyz i opinii.”.

Ponadto, zgodnie z art. 84 ust. 2 ustawy, kontrolowany ma obowiązek zapewnić kontrolującemu oraz osobom upoważnionym do udziału w kontroli warunki i środki niezbędne do sprawnego przeprowadzenia kontroli, a w szczególności sporządzić we własnym zakresie kopie lub wydruki dokumentów oraz informacji zgromadzonych na nośnikach, w urządzeniach lub systemach, o których mowa w ust. 1 pkt 3. Kontrolowany dokonuje także potwierdzenia za zgodność z oryginałem sporządzonych kopii lub wydruków, o których mowa w ust. 2, a w przypadku odmowy potwierdzenia za zgodność z oryginałem kontrolujący czyni o tym wzmiankę w protokole kontroli (art. 84 ust. 3 ustawy). Sama kontrola może być także nagrywana, choć nie jest to zasada, a wyjątek, o którego zastosowaniu kontrolowany musi zostać wcześniej powiadomiony. Zgodnie z art. 84 ust. 4 u.o.d.o.:

„W uzasadnionych przypadkach przebieg kontroli lub poszczególne czynności w jej toku, po uprzednim poinformowaniu kontrolowanego, mogą być utrwalane przy pomocy urządzeń rejestrujących obraz lub dźwięk. Informatyczne nośniki danych w rozumieniu ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2019 r. poz. 700, 730, 848 i 1590), na których zarejestrowano przebieg kontroli lub poszczególne czynności w jej toku, stanowią załącznik do protokołu kontroli.”.

Istnieje także inne uprawnienie kontrolującego, przewidziane na najbardziej skrajne sytuacje. Zgodnie z art. 85 ust. 1 ustawy, Prezes Urzędu lub kontrolujący może zwrócić się do właściwego miejscowo komendanta Policji o pomoc, jeżeli jest to niezbędne do wykonywania czynności kontrolnych. Policja udziela pomocy przy wykonywaniu czynności kontrolnych, po otrzymaniu pisemnego wezwania na co najmniej 7 dni przed terminem tych czynności (art. 85 ust. 2 u.o.d.o.). W pilnych przypadkach, w szczególności gdy kontrolujący trafi na opór uniemożliwiający lub utrudniający wykonywanie czynności kontrolnych, udzielenie pomocy następuje również na ustne wezwanie Prezesa Urzędu lub kontrolującego, po okazaniu imiennego upoważnienia do przeprowadzenia kontroli oraz legitymacji służbowej kontrolującego (art. 85 ust. 3 u.o.d.o.). W takim przypadku Prezes Urzędu przekazuje potwierdzenie wezwania na piśmie, nie później niż w terminie 3 dni po zakończeniu czynności kontrolnych.(art. 85 ust. 4 u.o.d.o.). Udzielenie pomocy Policji przy wykonywaniu czynności kontrolnych polega na zapewnieniu kontrolującemu bezpieczeństwa osobistego oraz dostępu do miejsca wykonywania kontroli i porządku w tym miejscu (art. 85 ust. 5 u.o.d.o.). Ponadto, przy udzielaniu pomocy kontrolującemu Policja zapewnia bezpieczeństwo również innym osobom uczestniczącym przy wykonywaniu czynności kontrolnych, mając w szczególności na względzie poszanowanie godności osób biorących udział w kontroli (art. 85 ust. 6 u.o.d.o.).

Kontrolujący ma także prawo do przesłuchania w charakterze świadka pracownika podmiotu kontrolowanego, na co pozwala art. 86 ust. 1 ustawy. Stosownie do treści art. 86 ust. 2 u.o.d.o., Za pracownika kontrolowanego uznaje się osobę zatrudnioną na podstawie stosunku pracy lub wykonującą pracę na podstawie umowy cywilnoprawnej. Przy przesłuchaniu pracownika w ramach kontroli ma zastosowanie art. 83 Kodeksu postępowania administracyjnego, który stanowi:

§  1. Nikt nie ma prawa odmówić zeznań w charakterze świadka, z wyjątkiem małżonka strony, wstępnych, zstępnych i rodzeństwa strony oraz jej powinowatych pierwszego stopnia, jak również osób pozostających ze stroną w stosunku przysposobienia, opieki lub kurateli. Prawo odmowy zeznań trwa także po ustaniu małżeństwa, przysposobienia, opieki lub kurateli.

§  2. Świadek może odmówić odpowiedzi na pytania, gdy odpowiedź mogłaby narazić jego lub jego bliskich wymienionych w § 1 na odpowiedzialność karną, hańbę lub bezpośrednią szkodę majątkową albo spowodować naruszenie obowiązku zachowania prawnie chronionej tajemnicy zawodowej.

§  3. Przed odebraniem zeznania organ administracji publicznej uprzedza świadka o prawie odmowy zeznań i odpowiedzi na pytania oraz o odpowiedzialności za fałszywe zeznania.

(…)”.

Trzeba też podkreślić, że zgodnie z art. 89 ust. 1 u.o.d.o., kontrolę prowadzi się nie dłużej niż 30 dni od dnia okazania kontrolowanemu lub innej osobie wskazanej w przepisach imiennego upoważnienia do przeprowadzenia kontroli oraz legitymacji służbowej lub innego dokumentu potwierdzającego tożsamość, jednakże do terminu tego nie wlicza się terminów przewidzianych na zgłoszenie zastrzeżeń do protokołu kontroli lub podpisanie i doręczenie protokołu kontroli przez kontrolowanego. Jednakże w stosunku do przedsiębiorców zastosowanie ma zasada ogólna wynikająca z art. 55 ust. 1 Prawa przedsiębiorców, zgodnie z którym: czas trwania wszystkich kontroli organu kontroli u przedsiębiorcy w jednym roku kalendarzowym nie może przekraczać w odniesieniu do:

a)    mikroprzedsiębiorców – 12 dni roboczych,

b)    małych przedsiębiorców – 18 dni roboczych,

c)    średnich przedsiębiorców – 24 dni roboczych,

d)    pozostałych przedsiębiorców – 48 dni roboczych.

Zakończenie kontroli

Po dokonaniu wszelkich czynności kontrolujący obowiązany jest ustalić zaistniały u kontrolowanego stan faktyczny. Jak wynika z art. 87 ustawy, stan faktyczny jest ustalany na podstawie dowodów zebranych w postępowaniu kontrolnym, a w szczególności dokumentów, przedmiotów, oględzin oraz ustnych lub pisemnych wyjaśnień i oświadczeń. Przebieg czynności kontrolnych kontrolujący przedstawia w protokole kontroli (art. 88 ust. 1 u.o.d.o.). Stosownie do treści art. 88 ust. 2 u.o.d.o. zawiera on:

  1. wskazanie nazwy albo imienia i nazwiska oraz adresu kontrolowanego;
  2. imię i nazwisko osoby reprezentującej kontrolowanego oraz nazwę organu reprezentującego kontrolowanego;
  3. imię i nazwisko, stanowisko służbowe, numer legitymacji służbowej oraz numer imiennego upoważnienia kontrolującego, a w przypadku kontrolującego, o którym mowa w art. 79 ust. 1 pkt 2, imię i nazwisko, numer dokumentu potwierdzającego tożsamość oraz numer imiennego upoważnienia;
  4. datę rozpoczęcia i zakończenia czynności kontrolnych;
  5. określenie zakresu przedmiotowego kontroli;
  6. opis stanu faktycznego ustalonego w toku kontroli oraz inne informacje mające istotne znaczenie dla oceny zgodności przetwarzania danych z przepisami o ochronie danych osobowych;
  7. wyszczególnienie załączników;
  8. omówienie dokonanych w protokole kontroli poprawek, skreśleń i uzupełnień;
  9. pouczenie kontrolowanego o prawie zgłaszania zastrzeżeń do protokołu kontroli oraz o prawie odmowy podpisania protokołu kontroli;
  10. datę i miejsce podpisania protokołu kontroli przez kontrolującego i kontrolowanego.

Zgodnie z art. 88 ust. 9, protokół kontroli sporządza się w postaci elektronicznej albo w postaci papierowej w dwóch egzemplarzach, które kontrolujący doręcza kontrolowanemu. Kontrolujący podpisuje je i przekazuje kontrolowanemu w celu podpisania (art. 88 ust. 3 u.o.d.o.). Kontrolowany natomiast w terminie 7 dni od dnia przedstawienia protokołu kontroli do podpisu podpisuje go albo składa pisemne zastrzeżenia do jego treści (art. 88 ust. 4 u.o.d.o.). Brak doręczenia kontrolującemu podpisanego protokołu kontroli i niezgłoszenie zastrzeżeń do jego treści w terminie 7 dni, uznaje się za odmowę podpisania protokołu kontroli (art. 88 ust. 7 u.o.d.o.). W przypadku złożenia zastrzeżeń, kontrolujący dokonuje ich analizy i, w razie potrzeby, podejmuje dodatkowe czynności kontrolne, a w przypadku stwierdzenia zasadności zastrzeżeń zmienia lub uzupełnia odpowiednią część protokołu kontroli w formie aneksu do protokołu kontroli (art. 88 ust. 5 u.o.d.o.). Z kolei w razie nieuwzględnienia zastrzeżeń w całości albo części, kontrolujący przekazuje kontrolowanemu informacje o tym wraz z uzasadnieniem (art. 88 ust. 6 u.o.d.o.). W przypadku odmowy podpisania protokołu kontroli przez kontrolowanego, kontrolujący czyni o tym wzmiankę w tym protokole, zawierającą datę jej dokonania (art. 88 ust. 8 zd. 1 u.o.d.o.). W przypadku braku doręczenia podpisanego protokołu przez kontrolowanego z jednoczesnym brakiem zgłoszenia zastrzeżeń w terminie 7 dni, wzmianki dokonuje się po upływie terminu 7-dniowego (art. 88 ust. 8 zd. 2 u.o.d.o.). Terminem zakończenia kontroli jest dzień podpisania protokołu kontroli przez kontrolowanego albo dzień dokonania wzmianki, o której mowa w art. 88 ust. 8 (art. 89 ust. 2 ustawy). Zgodnie z art. 90 u.o.d.o., jeżeli na podstawie informacji zgromadzonych w postępowaniu kontrolnym Prezes Urzędu uzna, że mogło dojść do naruszenia przepisów o ochronie danych osobowych, obowiązany jest do niezwłocznego wszczęcia postępowania w sprawie naruszenia przepisów o ochronie danych osobowych, które jest postępowaniem odrębnym i następczym wobec omawianego postępowania kontrolnego (wyniki kontroli mogą bowiem dopiero zainicjować postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych). Wobec tego postępowanie to nie będzie omawiane w ramach niniejszego opracowania. W tym miejscu należy jedynie zasygnalizować, że postępowanie ma charakter administracyjny i może zakończyć się wydaniem decyzji administracyjnej, którą można zaskarżyć do wojewódzkiego sądu administracyjnego. Z dotychczas wydanymi decyzjami Prezesa UODO można zapoznać się na stronie Urzędu (https://uodo.gov.pl/pl/p/decyzje).

Podsumowanie

Obszar ochrony danych osobowych jest bardzo podatny na wszelkie naruszenia. Wynika to z jednej strony ze specyfiki tej gałęzi prawa, gdyż dotyczy ona często bardzo prywatnych informacji o pracownikach, klientach czy kontrahentach, z drugiej zaś z mało precyzyjnego sposobu uregulowania tych kwestii w RODO, zawierającym dużo pojęć nieostrych i ogólników. Sprawia to, że w praktycznie każdej firmie bardzo łatwo może dochodzić do naruszenia przepisów o ochronie danych osobowych i to w sposób nieświadomy. To uzasadnia z kolei coraz większą liczbę kontroli przeprowadzanych przez Prezesa UODO, które mogą mieć dla danej firmy poważne konsekwencje finansowe, doprowadzając w skrajnych przypadkach do jej upadłości. Trzeba zatem nie tylko dbać o przestrzeganie przepisów RODO i u.o.d.o., lecz także być świadomym uprawnień, jakie przysługują kontrolowanemu podczas postępowania kontrolnego. Świadomość w tym zakresie może bowiem pomóc wyjaśnić sporne kwestie już na etapie kontroli, gdzie będzie można wykazać organowi kontrolnemu, iż nie doszło do naruszenia przepisów, bądź naruszenie miało charakter incydentalny. Brak zaś obeznania w tym zakresie może być z kolei przyczyną  niemożności należytej obrony swych praw, przez co kontrola może doprowadzić do wszczęcia postępowania w sprawie naruszenia przepisów o ochronie danych osobowych i nałożenia kary finansowej, mimo, że w danym stanie faktycznym byłoby to niezasadne.

Źródła:

D. Lubasz (red.), Ustawa o ochronie danych osobowych. Komentarz, Wydawnictwo Wolters Kluwer, Warszawa 2019.

P. Fajgielski, Ogólne rozporządzenie o  ochronie  danych.  Ustawa  o  ochronie  danych  osobowych.   Komentarz, Wydawnictwo Wolters Kluwer, Warszawa 2018.

https://uodo.gov.pl/pl