Jak napisać pracę magisterską z prawa ochrony danych

Prawo ochrony danych to dziedzina, w której RODO obowiązuje już 8 lat (od 25 maja 2018), a literatura naukowa, orzecznictwo TSUE i decyzje EDPB rosną w tempie kilkudziesięciu pozycji rocznie. Promotor i komisja oczekują, że napiszesz pracę uwzględniającą stan z ostatnich 12 miesięcy, bo w tej dziedzinie rok to dużo.

Maj to dobry moment, żeby zacząć. Promotorzy z katedr prawa cywilnego i administracyjnego są dostępni, literatura RODO nieoblegana. Jeśli celujesz w obronę w październiku, masz 20 tygodni.

Z mojej praktyki, prace z prawa ochrony danych mają jeden powtarzający się błąd. Student opisuje 6 zasad z art. 5 RODO i 6 podstaw prawnych z art. 6, dodaje rozdział o IOD i DPIA, kończy zakończeniem o znaczeniu RODO. Praca poprawna, ale bez własnego stanowiska. Komisja oceni to na czwórkę.

Pokażę Ci, jak napisać pracę na piątkę.

Wybór tematu i pytania badawcze

Prawo ochrony danych jest dziedziną, w której temat musi być zawężony do jednego problemu albo jednej sytuacji praktycznej. RODO i krajowa ustawa o ochronie danych osobowych z 2018 dają Ci 99 artykułów RODO i 173 artykuły ustawy krajowej, pisanie „o RODO” w całości to zadanie na 500-stronicową monografię, nie na magistrkę.

Obszary, które dobrze sprawdzają się w pracach magisterskich z prawa ochrony danych:

• Podstawy prawne przetwarzania w art. 6 RODO, szczególnie zgoda (art. 6 ust. 1 lit. a w zw. z art. 7), uzasadniony interes (art. 6 ust. 1 lit. f), oraz ich relacja z art. 9 (dane szczególnych kategorii)
• Prawo do bycia zapomnianym, art. 17 RODO, orzeczenia TSUE C-131/12 Google Spain, C-460/20 TU i RE, ważenie interesów z prawem do informacji
• Pseudonimizacja vs anonimizacja, kluczowe rozróżnienie z art. 4 pkt 5 RODO, problem reidentyfikacji, anonimizacja w big data
• Transfer danych poza EOG, Schrems II (C-311/18), Standard Contractual Clauses (SCC z 2021), Binding Corporate Rules, decyzje adekwatności KE, Data Privacy Framework UE-USA z 2023
• DPIA, ocena skutków dla ochrony danych, art. 35 RODO, lista UODO obowiązkowych DPIA, metodologia CNIL, problem operacji o „wysokim ryzyku”
• Inspektor ochrony danych (IOD), art. 37-39 RODO, status prawny IOD w polskim prawie pracy, ochrona przed odwołaniem, konflikt interesów
• Profilowanie i decyzje zautomatyzowane, art. 22 RODO, relacja z AI Act, prawo do interwencji ludzkiej
• Marketing i cookies, art. 6 ust. 1 lit. f vs art. 6 ust. 1 lit. a, dyrektywa ePrivacy, polski ustawa Prawo telekomunikacyjne (art. 173), nadchodzące rozporządzenie ePrivacy
• Naruszenia ochrony danych, art. 33-34 RODO, obowiązek zgłaszania UODO w 72h, notyfikacja podmiotów danych, kary administracyjne UODO
• Kary RODO, art. 83-84 RODO, kalkulator kar EDPB, najwyższe kary w UE (Meta, TikTok, Amazon)

Pytanie badawcze ma być precyzyjne. Nie: „Czy zgoda jest dobrą podstawą przetwarzania?”, ale: „Czy zgoda wyrażona przez użytkownika polskiego serwisu społecznościowego poprzez przewijanie strony (scroll consent) spełnia przesłanki ważnej zgody w rozumieniu art. 4 pkt 11 i art. 7 RODO w świetle Wytycznych EDPB 05/2020?”

Jedno pytanie główne. Maksymalnie trzy hipotezy szczegółowe.

Metodologia pracy magisterskiej z prawa ochrony danych

W pracach RODO metodologia wymaga szczególnej dyscypliny, bo łączysz akt unijny (RODO jako rozporządzenie), krajową ustawę implementacyjną (ustawa z 2018), orzecznictwo TSUE, decyzje EDPB, decyzje UODO i innych krajowych organów nadzorczych.

Metoda dogmatyczna
Analiza tekstu RODO (102 motywy preambuły + 99 artykułów + załączniki), krajowej ustawy o ochronie danych z 10 maja 2018, ustaw sektorowych (Kodeks pracy, ustawa o świadczeniu usług drogą elektroniczną, Prawo telekomunikacyjne, ustawa o systemie informacji w ochronie zdrowia). Wykładnia językowa, systemowa, funkcjonalna i celowościowa.

Przy RODO szczególnie ważna jest wykładnia celowościowa, motywy preambuły (recitals) są argumentem interpretacyjnym. Motyw 26 RODO o anonimizacji, motyw 47 o uzasadnionym interesie, motyw 71 o profilowaniu, to fundamenty wykładni odpowiednich artykułów.

Wykładnia prounijna RODO w prawie polskim
Sądy polskie są zobowiązane do wykładni przepisów krajowych w sposób zgodny z RODO. W pracach o relacji RODO do prawa krajowego, pokazujesz, jak polska ustawa z 2018 i kodeks pracy powinny być rozumiane w świetle celów RODO.

Analiza orzecznictwa
Najważniejsze orzeczenia TSUE w prawie ochrony danych: C-131/12 Google Spain (prawo do bycia zapomnianym), C-311/18 Schrems II (transfer poza EOG), C-252/21 Meta Platforms Ireland (zgoda przy danych szczególnych kategorii), C-13/16 Rīgas satiksme (uzasadniony interes), C-460/20 TU i RE (prawo do bycia zapomnianym w przypadku nieprawdziwych informacji), C-129/21 Proximus (sprzeciw wobec marketingu), C-446/21 Maximilian Schrems v Meta Platforms (profilowanie reklamowe), C-446/20 SCHUFA (scoring i decyzje zautomatyzowane).

Polskie orzecznictwo: NSA i WSA w sprawach decyzji UODO. Sąd Okręgowy w Warszawie XVII Wydział Sąd Ochrony Konkurencji i Konsumentów (odwołania od decyzji UODO).

Decyzje organów nadzorczych
Decyzje UODO publikowane na stronie organu, analiza najwyższych kar (Morele.net, ID Finance, P4, virgin Mobile), interpretacji obowiązków administratora. Decyzje krajowych organów innych państw UE (CNIL we Francji, BfDI w Niemczech, DPC w Irlandii, większość spraw przeciwko Meta i Google). Decyzje EDPB w postępowaniu spójności (Binding Decisions wydawane na podstawie art. 65 RODO).

Analiza wytycznych EDPB
EDPB (Europejska Rada Ochrony Danych) publikuje Wytyczne, które nie są źródłem prawa, ale stanowiskiem organu. Najważniejsze: Guidelines 05/2020 on consent, Guidelines 07/2020 on the concepts of controller and processor, Guidelines 8/2020 on targeting of social media users, Guidelines 01/2022 on data subject rights – right of access, Recommendations 01/2020 on measures supplementing transfer tools. Cytujesz: numer wytycznych, tytuł, data wersji ostatecznej.

Metoda prawnoporównawcza
Wewnątrz UE, porównanie krajowych ustaw implementacyjnych RODO (ustawa polska, niemiecki BDSG, francuski Loi Informatique et Libertés z 1978 po reformie 2018), bo każde państwo skorzystało z klauzul otwarcia (opening clauses) w różny sposób. Poza UE, Wielka Brytania (UK GDPR po Brexicie), USA (CCPA i CPRA w Kalifornii, sectoral approach federalny: HIPAA, GLBA, COPPA), Chiny (PIPL z 2021).

Źródła literatury
Podstawowe komentarze: Litwiński P. (red.), Komentarz do RODO, C.H. Beck (kolejne wydania); Bielak-Jomaa E., Lubasz D. (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, Wolters Kluwer 2018; Łukasz Goździaszek, Krajowa ustawa o ochronie danych osobowych. Komentarz, C.H. Beck. Czasopisma: ABI Expert, Monitor Prawniczy, European Data Protection Law Review (EDPL), International Data Privacy Law (IDPL), Computer Law and Security Review, Państwo i Prawo (dział o RODO).

Struktura i rozdziały

Praca magisterska z prawa ochrony danych ma zazwyczaj 80-110 stron. Standardowy układ:

1. Wstęp, uzasadnienie wyboru tematu, sformułowanie problemu badawczego, cel pracy, hipotezy, metodologia, struktura. 4-6 stron.

2. Rozdział I, geneza i podstawy systemowe ochrony danych, historia prawa ochrony danych w Europie (Konwencja 108 z 1981, dyrektywa 95/46/WE, RODO), miejsce ochrony danych w systemie praw podstawowych (art. 8 Karty Praw Podstawowych UE, art. 16 TFUE, rozróżnienie ochrony prywatności i ochrony danych), pojęcia podstawowe RODO.

3. Rozdział II, analiza dogmatyczna problemu, szczegółowa analiza przepisów odnoszących się do Twojego tematu (np. art. 6 i 7 dla zgody, art. 17 dla prawa do bycia zapomnianym, art. 35 dla DPIA). Tu wykładnia, doktryna, kontrowersje.

4. Rozdział III, analiza orzecznictwa TSUE i organów nadzorczych, przegląd orzeczeń TSUE, decyzji EDPB, UODO i innych krajowych organów. Pokazujesz, jak teoria zderza się z praktyką regulacyjną.

5. Rozdział IV, wytyczne EDPB i soft law, analiza materiałów soft law, ich wpływu na praktykę stosowania RODO, krytyka doktrynalna.

6. Rozdział V, analiza prawnoporównawcza, jedno lub dwa porównania (wewnątrzunijne, Niemcy, Francja; pozaunijne, Wielka Brytania, USA, Chiny).

7. Rozdział VI, wnioski de lege lata i de lege ferenda, co wynika z obowiązujących przepisów, jakie zmiany byłyby pożądane. Autorska część pracy.

8. Zakończenie, synteza, odpowiedź na pytanie badawcze, weryfikacja hipotez, ograniczenia, kierunki dalszych badań.

9. Bibliografia, podział na: akty prawne (osobno UE, osobno krajowe), orzecznictwo (osobno TSUE, ETPC, SN, NSA, WSA, SOKiK), decyzje organów (UODO, EDPB, CNIL, BfDI, DPC), wytyczne EDPB i soft law, literatura (monografie, artykuły, komentarze), źródła internetowe. Minimum 70-90 pozycji.

Wykaz skrótów, RODO, GDPR, EDPB, UODO, IOD, DPO, DPIA, SCC, BCR, EOG, k.c., k.p., u.o.d.o., u.ś.u.d.e. (ustawa o świadczeniu usług drogą elektroniczną), TSUE, ETPC, SN, NSA, WSA.

Najczęstsze błędy

• Mylenie zgody z umową jako podstawą prawną, to dwie różne podstawy z art. 6 RODO (lit. a vs lit. b). Wytyczne EDPB 05/2020 wskazują, że zgody nie wolno mylić z koniecznością wykonania umowy. Wiele serwisów stosuje to błędnie
• Pominięcie rozróżnienia administrator/procesor, art. 4 RODO definiuje dwie różne role z różnymi obowiązkami i odpowiedzialnościami. Wytyczne EDPB 07/2020 zawierają szczegółowe testy do rozpoznania, kto jest administratorem, a kto procesorem
• Pisanie o RODO bez znajomości art. 5, sześć podstawowych zasad RODO (legalność, ograniczenie celu, minimalizacja, prawidłowość, ograniczenie przechowywania, integralność i poufność) plus rozliczalność (art. 5 ust. 2), to fundament. Każdy obowiązek z RODO ma swoje korzenie w którejś z tych zasad
• Mylenie pseudonimizacji i anonimizacji, pseudonimizacja (art. 4 pkt 5) to nadal przetwarzanie danych osobowych, anonimizacja całkowita to wyjście poza zakres RODO (motyw 26). Wytyczne grupy roboczej art. 29 (Opinion 05/2014) wciąż są podstawą rozróżnienia
• Cytowanie nieaktualnych decyzji UODO, w pierwszych latach RODO UODO wydawał decyzje, które zostały następnie zmienione przez sądy (np. głośna sprawa Morele.net miała kilka instancji, sprawa Virgin Mobile była uchylana). Sprawdzaj, czy decyzja jest prawomocna
• Ignorowanie wytycznych EDPB, Wytyczne EDPB są jak interpretacje organu unijnego. Polska doktryna i UODO regularnie się na nie powołują. Praca o RODO bez Wytycznych EDPB to praca niekompletna
• Brak rozróżnienia danych zwykłych i szczególnych kategorii, art. 9 RODO wprowadza zaostrzony reżim dla danych ujawniających pochodzenie rasowe, poglądy polityczne, dane biometryczne, dane zdrowotne. To nie są „lepiej chronione dane zwykłe”, to inny reżim
• Cytowanie strony PUODO jako źródła naukowego, strona UODO jest źródłem decyzji i wytycznych UODO, ale nie literaturą naukową. Cytuj komentarze Litwińskiego, Bielak-Jomy, artykuły z EDPL, IDPL, Monitora Prawniczego
• Powtarzanie pojęć w różnych wariantach, „ochrona danych osobowych”, „ochrona prywatności”, „data protection”, „privacy”, to nie są synonimy. Ochrona prywatności (art. 7 KPP UE) i ochrona danych (art. 8 KPP UE) to dwa różne reżimy
• Brak aktualizacji w trakcie pisania, w prawie ochrony danych co miesiąc dzieje się coś nowego: orzeczenie TSUE, wytyczne EDPB, decyzja UODO, nowelizacja krajowa. Co tydzień sprawdzaj komunikaty UODO i EDPB. W stopce: „Stan prawny na dzień złożenia pracy”.

FAQ

Podsumowanie

Praca magisterska z prawa ochrony danych musi być pracą żywą, uwzględniającą orzeczenia, decyzje, wytyczne z ostatnich tygodni. To nie jest dziedzina, w której możesz napisać pierwszy rozdział w październiku i nie wracać do niego do obrony w czerwcu. Co miesiąc sprawdzasz: TSUE, EDPB, UODO, EDPS, CNIL, BfDI.

Pisz krótko i precyzyjnie. RODO ma 99 artykułów, ale realne spory dotyczą kilkudziesięciu z nich, a w Twojej pracy zazwyczaj kilku. Komisja oczekuje, że pokażesz głęboką analizę kilku kluczowych przepisów, a nie powierzchowne omówienie wszystkiego.

Jeśli zbliżasz się do obrony i chcesz mieć pewność, że praca jest gotowa, zapraszam na dobrzenapisane.pl. Koretuję prace prawnicze regularnie, sprawdzam poprawność cytowania aktów i orzeczeń, terminologię, spójność wywodu i język. Napisz, odpiszę w ciągu 24 godzin.

Dowiedz się więcej

• Litwiński P. (red.) (2024). Komentarz do RODO. C.H. Beck
• Bielak-Jomaa E., Lubasz D. (red.) (2018). RODO. Ogólne rozporządzenie o ochronie danych. Komentarz. Wolters Kluwer
• Sakowska-Baryła M. (red.) (2020). Komentarz do ustawy o ochronie danych osobowych. C.H. Beck
• EDPB, wytyczne, decyzje, opinie: https://www.edpb.europa.eu
• UODO, decyzje, wytyczne, sprawozdania: https://www.uodo.gov.pl

Inne artykuły na blogu:
– Jak znaleźć literaturę do pracy dyplomowej
– Metodologia pracy magisterskiej, od czego zacząć
– Korekta pracy magisterskiej, co obejmuje i ile kosztuje

Natalia Witek-Dąbrowska

Redaktorka i korektorka z 20-letnim doświadczeniem

Specjalizuję się w korekcie prac naukowych i dyplomowych. Jeśli potrzebujesz pomocy z tekstem, napisz do mnie.