Dane osobowe: Ile może wiedzieć gmina o swoim mieszkańcu

Gmina nie może wiedzieć o swoim mieszkańcu za dużo. Może zbierać i przetwarzać dane osobowe wyłącznie na podstawie i w granicach prawa.

Aktualizacja: 15.08.2017 12:52 Publikacja: 15.08.2017 10:30

Dane osobowe: Ile może wiedzieć gmina o swoim mieszkańcu

Foto: Fotorzepa, Jarosław Pruss

Przed wejściem w życie Rozporządzenia Parlamentu Europejskiego i Rady (RODO) w sprawie ochrony danych osobowych konieczne jest dokonanie przeglądu zbieranych przez gminę danych o mieszkańcach.

Podstawy przetwarzania

Zgodnie z art. 51 Konstytucji Rzeczpospolitej Polskiej: „nikt nie może być inaczej niż na podstawie ustawy zobowiązany do ujawnienia informacji dotyczącej jego osoby". Oznacza to, że władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż te, które są niezbędne w demokratycznym państwie prawa.

Zgodnie z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych możliwe jest przetwarzanie danych osobowych, jeżeli jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. W innych przypadkach konieczne jest posiadanie zgody.

Jednostki samorządu terytorialnego w ramach realizacji zadań własnych gromadzą znaczne ilości danych osobowych mieszkańców, w większości przypadków za podstawę przyjmując przepisy konkretnej ustawy szczegółowej. Przykładowo, w przypadku złożenia przez mieszkańca wniosku o wydanie prawa jazdy – jest on zobligowany do wskazania swoich danych osobowych – w celu realizacji obowiązku administracyjnego.

Samorządy, zgodnie z przytaczanym wyżej przepisem, w swej praktyce powinny powoływać się na inne „podstawy przetwarzania danych". I tak, gmina w ramach swojej działalności i swoich jednostek organizacyjnych, może przetwarzać dane osobowe w oparciu o zgodę, np.: w razie uczestnictwa w konkursach organizowanych przez placówki oświatowe lub głosowania na projekt budżetu obywatelskiego. W ramach świadczenia usług o charakterze użyteczności publicznej podstawą przetwarzania danych będą odpowiednie umowy zawarte przez mieszkańców z gminą, w praktyce są to przede wszystkim umowy dotyczące usług wodno-kanalizacyjnych czy też najmu.

Z punktu widzenia ochrony danych osobowych problem powstaje w sytuacji, w której powołanie podstawy przetwarzania jest stosowane ze zbytnią swobodą, a zebrane dane wykorzystywane są do celów innych niż wynika to z danej podstawy.

Dla przykładu, szeroko komentowane przez generalnego inspektora danych osobowych w 2013 r. (http://www.giodo.gov.pl/pl/1520162/6528), gromadzenie przez gminy danych o mieszkańcach na potrzeby gospodarki odpadami często wiązało się w praktyce z wykorzystaniem ich, np.: poprzez wymuszenie uzyskania określonych danych osobowych czy w odniesieniu do weryfikacji innych obowiązków administracyjnych mieszkańców. GIODO w wydanym stanowisku wskazał wprost, że „pozyskiwanie danych osobowych nie może odbywać się w sposób dowolny, wbrew pierwotnym uprawnieniem ustawowym, z pominięciem wyżej wskazanych: zasady legalizmu, adekwatności, celowości. Nie może dochodzić do sytuacji, w której rada gminy, w sposób de facto dowolny, kształtować będzie zakres danych, jakie mogą być pozyskiwane od właścicieli nieruchomości".

Część samorządów zwykła płynnie traktować granice pomiędzy danymi zbieranymi na potrzeby realizacji zadania ustawowego a uzyskiwanymi na podstawie zgody. Wynika to prawdopodobnie z tego, że ten sam urząd, który wspiera wójta, jako organ administracji realizuje także obowiązki, np.: z umów zawieranych przez gminę jako osobę prawną z podmiotami trzecimi. Wraz z wejściem w życie Rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony danych osobowych (RODO) precyzyjne określenie podstawy przetwarzania danych staje się jednym z kluczowych obowiązków jednostek samorządu terytorialnego.

Przekroczenie dopuszczalnych uprawnień

Należy pamiętać, iż gromadzenie danych osobowych musi być związane z określeniem w sposób precyzyjny zakresu uzyskiwanych od obywateli informacji, jak również celu, dla którego będą one przetwarzane. Ponadto, różne podstawy przetwarzania generują zgodnie z RODO odmienne prawa i obowiązki dla administratorów oraz osób, których dane są przetwarzane.

Przykładowo, przepisy RODO w określonych przypadkach przyznają mieszkańcom prawo dostępu do własnych danych, umożliwiają prawo do przenoszenia danych, prawo sprzeciwu wobec profilowania czy też „prawo do bycia zapomnianym", tj. usunięcia danych.

Co więcej, implementowane do polskiego porządku prawnego przepisy RODO dotyczące odpowiedzialności administratorów danych mogą w przyszłości okazać się o wiele bardziej dotkliwe dla gmin. Stąd niezbędne jest podjęcie możliwie jak najszybciej kroków pozwalających na zmianę praktyki i dostosowanie do nowych regulacji.

Niezbędne dalsze kroki

W naszej ocenie samorządy w pierwszej kolejności powinny zweryfikować zakres gromadzonych przez siebie danych, jak również to, na jakiej podstawie zostały one zebrane oraz do jakich celów. Natomiast w razie stwierdzenia, że zgromadzone dane nie są niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, konieczne jest potwierdzenie, że gmina przetwarza je na podstawie zgody. Co więcej, nie można wykluczyć powstania po takim przeglądzie obowiązku usunięcia określonych danych ze zbiorów prowadzonych przez gminę. Za wsparcie w określeniu, których danych będzie to dotyczyć, samorządy mogą uznać dorobek orzeczniczy Trybunału Sprawiedliwości Unii Europejskiej (np. przesłanki niedawnego wyroku z 9 marca 2017 r., sygn. TSUE C-398/15).

W drugiej kolejności, należy ocenić system przetwarzania danych pod kątem wykorzystania ich do celów, do których zostały zebrane. Choć GIODO już w 2013 r. (decyzja z 29 lipca 2013 r., DOLiS/DEC-790/13/ 48011,48016,48018) rozstrzygał kwestię wykorzystania danych znanych organowi z urzędu w postępowaniach administracyjnych i podatkowych, nie można wykluczyć, że wraz z nową regulacją również pojawią się wątpliwości w tym zakresie. Stąd rekomendowane jest zawczasu określenie granic zbiorów danych przetwarzanych przez jednostki samorządu terytorialnego.

Trzecim krokiem będzie zbadanie treści stosowanych przez jednostkę samorządu terytorialnego uchwał, formularzy, instrukcji i regulaminów związanych z przetwarzaniem danych w celu określenia, czy spełniają wymagania stawiane przez nowe przepisy. Będzie dotyczyć to w szczególności obowiązków informacyjnych w stosunku do mieszkańców.

Jednostki samorządu terytorialnego muszą zaakceptować fakt, iż wdrożenie regulacji RODO prowadzi przede wszystkim do wzmocnienia ochrony jej mieszkańców oraz konieczności uporządkowania i wzmocnienia kontroli nad przetwarzanymi danymi osobowymi. ?

Krzysztof Dzioba radca prawny, Kancelaria EY Law

Angelika Kosińska Kancelaria EY Law

podstawa prawna: Konstytucja Rzeczypospolitej Polskiej z 2 kwietnia 1997 r. (DzU z 1997 r., nr 78, poz. 483)

podstawa prawna: Ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. DzU z 2016, poz. 922)

Przed wejściem w życie Rozporządzenia Parlamentu Europejskiego i Rady (RODO) w sprawie ochrony danych osobowych konieczne jest dokonanie przeglądu zbieranych przez gminę danych o mieszkańcach.

Podstawy przetwarzania

Pozostało 97% artykułu
2 / 3
artykułów
Czytaj dalej. Subskrybuj
Nieruchomości
Trybunał: nabyli działkę bez zgody ministra, umowa nieważna
Materiał Promocyjny
Wykup samochodu z leasingu – co warto wiedzieć?
Praca, Emerytury i renty
Czy każdy górnik może mieć górniczą emeryturę? Ważny wyrok SN
Prawo karne
Kłopoty żony Macieja Wąsika. "To represje"
Sądy i trybunały
Czy frankowicze doczekają się uchwały Sądu Najwyższego?
Materiał Promocyjny
Jak kupić oszczędnościowe obligacje skarbowe? Sposobów jest kilka
Sądy i trybunały
Łukasz Piebiak wraca do sądu. Afera hejterska nadal nierozliczona