Jak złożyć skargę dotyczącą własnych danych do organu ochrony danych (Datenschutzbeschwerde)?

Jeżeli firma narusza prawa dotyczące twoich danych osobowych, możesz złożyć skargę do austriackiego organu ochrony danych — Datenschutzbehörde (DSB). Opisz konkretne naruszenie własnego prawa, wskaż administratora danych, daty i dowody oraz zażądaj stwierdzenia naruszenia. Przy skardze na niewykonanie prawa wymagającego wniosku trzeba wcześniej wystąpić do administratora. Gotowe pismo prześlesz online, e-mailem albo pocztą.

Kiedy skarga do DSB jest właściwą drogą?

Skarga — Datenschutzbeschwerde — służy ochronie osoby, której dotyczą dane. Przedmiotem może być bezprawne ujawnienie informacji o tobie, niewłaściwe wykorzystanie danych albo odmowa wykonania konkretnego prawa wynikającego z RODO, nazywanego po niemiecku DSGVO. Powiąż zarzut z określoną operacją na swoich danych; ogólne niezadowolenie z firmy nie opisuje jeszcze naruszenia.

Administrator — Verantwortlicher — decyduje o celach i sposobach przetwarzania. Ustal pełną nazwę podmiotu i adres, korzystając z jego informacji o ochronie danych oraz korespondencji. Sama nazwa aplikacji może nie identyfikować firmy wystarczająco dokładnie.

Odrębny sygnał o nieprawidłowościach, Anregung eines amtswegigen Prüfverfahrens, może skłonić DSB do kontroli z urzędu. Nie zapewnia jednak statusu strony ani prawa do informacji o wyniku. Jeśli dochodzisz własnego prawa, wybierz skargę. Skarga nie jest anonimowa.

Kiedy najpierw wystąpić do administratora?

Jeśli chodzi o dostęp do danych, sprostowanie, ograniczenie przetwarzania, przeniesienie danych lub wykonanie sprzeciwu, najpierw skieruj odpowiedni wniosek do administratora. Formularze oznaczone jako Antrag w katalogu DSB służą właśnie temu etapowi. Wyślij je do firmy i zachowaj dowód doręczenia.

Administrator powinien odpowiedzieć zasadniczo w ciągu miesiąca od otrzymania wniosku. Przy uzasadnionej potrzebie, związanej ze złożonością lub liczbą wniosków, może przedłużyć ten okres o kolejne dwa miesiące. Musi poinformować o przedłużeniu i jego przyczynach jeszcze w pierwszym miesiącu. Brak odpowiedzi, odmowa lub odpowiedź niepełna mogą uzasadniać skargę; opisz dokładnie, który problem wystąpił.

Przy żądaniu usunięcia danych również możesz zacząć od wniosku do firmy. Nie oznacza to jednak, że wcześniejszy wniosek jest warunkiem każdej skargi dotyczącej danych. Bezprawne ujawnienie albo przetwarzanie można zakwestionować jako samoistne naruszenie. Dobierz podstawę do tego, co rzeczywiście się wydarzyło.

Jeżeli najpierw potrzebujesz dostępu do danych, nie łącz tego żądania od razu z ich usunięciem: zniknięcie danych może utrudnić sprawdzenie kompletności odpowiedzi.

Jak policzyć terminy wniesienia skargi?

Austriacka ustawa o ochronie danych, Datenschutzgesetz (DSG), przewiduje dwie granice:

Obie granice trzeba zachować. Późniejsze odkrycie zdarzenia nie daje dodatkowego roku po upływie trzyletniego maksimum. Wyjątek dotyczy bezprawnego przechowywania danych: jest to naruszenie trwające (Dauerdelikt), więc termin zaczyna biec dopiero wtedy, gdy bezprawny stan, czyli przechowywanie danych, ustanie. Spóźniona skarga podlega odrzuceniu.

Zapisz oddzielnie datę naruszenia i datę dowiedzenia się o nim. Przy niewykonaniu wniosku przedstaw także datę jego wysłania i doręczenia, termin odpowiedzi oraz datę otrzymania odmowy lub niepełnej informacji. Nie zastępuj tej chronologii datą ostatniego przypomnienia wysłanego firmie. Gdy dokładnej daty nie znasz, wyjaśnij, co wynika z posiadanych dokumentów.

Który formularz wybrać?

DSB udostępnia formularz online oraz pomocnicze PDF-y. Korzystanie ze wzoru nie jest obowiązkowe; własne pismo musi jednak zawierać wymagane informacje. W formularzu internetowym wybierz wniesienie skargi, a następnie rodzaj naruszenia odpowiadający sprawie.

W katalogu formularzy rozróżnij:

PDF dotyczący praw osoby poleca wybrać jedno prawo i użyć osobnego formularza dla kolejnego zarzutu. Wypełnij również końcowe pola daty i podpisu. Formularz Data Breach jest przeznaczony dla administratora zgłaszającego incydent i nie służy twojej skardze.

Co musi znaleźć się w treści?

Przygotuj pismo po niemiecku. Angielskie objaśnienia w PDF-ach pomagają zrozumieć rubryki, ale DSB prowadzi postępowanie w języku niemieckim. Podaj swoje imię, nazwisko, adres i dane kontaktowe.

Treść skargi powinna obejmować:

1. Naruszone prawo — nazwij je, na przykład prawo dostępu do danych.
2. Drugą stronę — nazwę i adres administratora, przeciwko któremu kierujesz zarzut.
3. Stan faktyczny — co się stało, jakich danych dotyczy sprawa i jaki jest jej związek z tobą.
4. Uzasadnienie — dlaczego określone działanie lub odpowiedź narusza twoje prawo.
5. Żądanie stwierdzenia naruszenia — wyraźny wniosek o rozstrzygnięcie własnej sprawy.
6. Dane pozwalające ocenić terminowość — chronologię z datami zdarzenia i uzyskania wiedzy.

Nie poprzestawaj na prośbie „proszę sprawdzić firmę”. Wskaż oczekiwane stwierdzenie naruszenia określonego prawa. Przy niepełnej odpowiedzi wypunktuj brakujące informacje i powiąż je z wcześniejszym wnioskiem.

Jak uporządkować załączniki?

Dołącz kopię wcześniejszego wniosku i odpowiedzi administratora, jeśli sprawa dotyczy wykonania prawa na wniosek. Gdy odpowiedzi nie ma, napisz to wprost. Formularz przewiduje też opis innego dowodu złożenia wniosku, jeżeli nie możesz dołączyć jego kopii.

Przygotuj ponadto dokumenty potwierdzające opis zdarzeń, zależnie od sprawy:

• potwierdzenie nadania, doręczenia lub przyjęcia zgłoszenia przez firmę;
• korespondencję z widocznymi datami i adresatami;
• zrzuty ekranu pokazujące dane, adres strony i kontekst publikacji;
• dokument potwierdzający datę uzyskania wiedzy o naruszeniu;
• wyjaśnienie, jaki konkretny brak pozostaje po odpowiedzi firmy.

Ponumeruj załączniki i odwołuj się do nich w opisie. Zachowaj oryginalne pliki, a do pisma dołącz czytelne kopie. Oddziel zdarzenia potwierdzone dokumentami od własnych przypuszczeń. Taki układ ułatwi późniejsze uzupełnienie sprawy.

Gdzie wysłać skargę i ile to kosztuje?

Możesz skorzystać z formularza internetowego albo wysłać skargę:

• e-mailem na dsb@dsb.gv.at;
• pocztą: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.

DSB określa maksymalny rozmiar zgłoszenia e-mailowego na 32 MB. Przed wysłaniem sprawdź kompletność plików i ich czytelność. Zachowaj całe zgłoszenie, załączniki oraz potwierdzenie wysłania lub złożenia. Jeśli podajesz e-mail w formularzu, zgadzasz się na otrzymywanie tam pism urzędowych; regularnie kontroluj tę skrzynkę.

Postępowanie skargowe jest zasadniczo bezpłatne: nie ma zwykłej opłaty ani obowiązku zwrotu kosztów postępowania drugiej stronie. DSB zastrzega jednak możliwość odmowy rozpatrywania pism oczywiście bezzasadnych lub nadmiernych albo wyjątkowego obciążenia kosztami. W sprawach, w których w istocie nie chodzi o ochronę praw do danych, może zażądać opłaty do 400 EUR albo odmówić rozpatrzenia skargi. Samo oddalenie merytorycznej skargi nie oznacza automatycznie takiej opłaty.

Co dzieje się po złożeniu?

Jeżeli brakuje wymaganych elementów, możesz otrzymać Mängelbehebungsauftrag, czyli wezwanie do usunięcia braków. Odpowiedz w wyznaczonym terminie, odnosząc się do każdego punktu. Brak skutecznego uzupełnienia może zakończyć sprawę odrzuceniem z przyczyn formalnych.

Po przyjęciu kompletnej skargi DSB przekazuje ją drugiej stronie i żąda stanowiska. Następnie masz możliwość odniesienia się do wyników postępowania, w tym wyjaśnień administratora. Podawaj w dalszej korespondencji numer sprawy i wskazuj, które twierdzenia firmy kwestionujesz oraz jakie dokumenty to potwierdzają.

DSB powinien poinformować o stanie i wynikach czynności w ciągu trzech miesięcy od wniesienia skargi. To obowiązek informacyjny, a nie obietnica zakończenia sprawy w tym czasie. Jeśli nie ma informacji, zapytaj o stan sprawy. Ustawa przewiduje również możliwość zwrócenia się do Bundesverwaltungsgericht w razie niepodjęcia sprawy lub naruszenia tego obowiązku.

Co zrobić po odpowiedzi lub decyzji?

Jeśli firma podczas postępowania wykona wniosek, DSB może uznać, że w tej części sprawa stała się bezprzedmiotowa. Przed zakończeniem postępowania możesz wyjaśnić, dlaczego naruszenie nadal pozostaje choćby częściowo nieusunięte. Wskaż konkretny brak i zachowaj termin z pisma organu.

Uwzględniając skargę, DSB może stwierdzić naruszenie oraz nakazać administratorowi wykonanie odpowiedniego wniosku. Nieuzasadniona skarga zostaje oddalona. Postępowanie skargowe nie przyznaje odszkodowania i nie kończy się automatyczną karą dla firmy; wymierzenie kary należy do odrębnego postępowania.

Jeżeli nie zgadzasz się z decyzją — Bescheid — przeczytaj pouczenie o jej zaskarżeniu. Właściwy jest Federalny Sąd Administracyjny — Bundesverwaltungsgericht (BVwG). Skargę na decyzję wnosi się zasadniczo w ciągu czterech tygodni od doręczenia, za pośrednictwem DSB. To odrębny etap: sprawdź pouczenie dotyczące treści pisma i ewentualnej opłaty.