RODO - obowiązki jednostek samorządu terytorialnego

Dane przetwarzane przez gminne ośrodki pomocy społecznej – choćby o problemach alkoholowych mieszkańców - wymagają szczególnej ochrony. Wejście w życie rozporządzenia Parlamentu Europejskiego ws. ochrony danych osobowych, tzw. RODO jedynie zaostrzy te wymagania.

Publikacja: 12.09.2017 06:50

RODO - obowiązki jednostek samorządu terytorialnego

Foto: Fotolia

Gmina odpowiada za przetwarzanie danych osobowych przez swoje jednostki. Dlatego w każdym jej działaniu obejmującym przetwarzanie danych osobowych muszą być brane pod uwagę obowiązki w zakresie ochrony danych przed niedozwolonym ich wykorzystaniem, udostępnieniem, zmianą czy usunięciem. Dotyczy to również sytuacji, w których gminy w celu realizacji swoich ustawowych zadań działają przez swoje jednostki organizacyjne. Jak podkreśla generalny inspektor ochrony danych osobowych: „każde przedsięwzięcie związane z przetwarzaniem danych osobowych powinno odbywać się z poszanowaniem zasad wynikających z powszechnie obowiązujących przepisów prawa, w szczególności przepisów ustawy o ochronie danych osobowych i wydanych na jej podstawie aktów wykonawczych, o ile przepisy innych aktów prawnych nie określają w sposób szczególny procesu przetwarzania danych osobowych" (stanowisko z 27 kwietnia 2011 r., znak DOLiS-035-1297/11/19860).

Dane na potrzeby pomocy społecznej

Wykonywanie zadań z zakresu pomocy społecznej, czy to w zakresie przeciwdziałania przemocy w rodzinie, czy rozwiązywania problemów alkoholowych wiąże się ze zbieraniem i przetwarzaniem szerokiego zakresu danych osobowych, w tym danych szczególnie chronionych. Podstawę prawną przetwarzania danych osobowych osób korzystających ze świadczeń pomocy społecznej stanowią przepisy z 12 marca 2004 r. o pomocy społecznej. Katalog zadań wynikający z tej ustawy a co za tym idzie, rodzaj przetwarzanych danych osobowych, dotyczy udzielenia pomocy, m.in. ze względu na bezdomność, bezrobocie, niepełnosprawność, przemoc w rodzinie, ubóstwo, alkoholizm, narkomanię czy trudności w przystosowaniu się do życia po zwolnieniu z zakładu karnego.

Sfera spraw należących do dziedziny pomocy socjalnej stanowi, tym samym wyjątkowo delikatny obszar. Sam fakt korzystania z pomocy społecznej stanowi dla niektórych obywateli wstydliwy temat. Nie ulega wątpliwości, że zakres danych osobowych przetwarzanych w celu udzielenia świadczeń wymaga szczególnej dbałości w ramach wykonywania obowiązków nałożonych na miejskie ośrodki pomocy społecznej (MOPS) oraz gminne ośrodki pomocy społecznej (GOPS).

Wycieki wrażliwych danych

Dane osób korzystających ze świadczeń z zakresu pomocy społecznej stanowią dane szczególnie chronione – zgodnie ze stanowiskiem GIODO, mogą być one przetwarzane jedynie w zakresie niezbędnym do udzielania świadczeń (art. 100 ust. 2 ustawy o pomocy społecznej).

Ta ustawa określa bowiem zasady postępowania w sprawie świadczeń z zakresu pomocy społecznej, w sposób szczególny chroniąc dobro osób korzystających z tej pomocy. Zgodnie z art. 100 ust. 1 ustawy „w postępowaniu w sprawie świadczeń z pomocy społecznej należy kierować się przede wszystkim dobrem osób korzystających z pomocy społecznej i ochroną ich dóbr osobistych. W szczególności nie należy podawać do wiadomości publicznej nazwisk osób korzystających z pomocy społecznej oraz rodzaju i zakresu przyznanego świadczenia".

Pomimo jasnych wymogów ustawowych, w praktyce niejednokrotnie „wrażliwe informacje" były upubliczniane, głównie w wyniku błędów odpowiedzialnych jednostek.

Przykład

Szeroko komentowaną sprawą było ujawnienie przez łódzki magistrat podpisanej przez sekretarz miasta odpowiedzi na interpelację radnych PiS z 31 sierpnia 2016 r., którzy pytali o nieprawidłowości w miejskim ośrodku pomocy społecznej. Ujawnione dane dotyczyły szesnastu osób odbywających staże w MOPS, m.in. w zakresie imion, nazwisk, nr PESEL, adresu, a także sum, które zarobiły te osoby w 2014 r. (niezaszyfrowane dane dotyczyły różnych stanowisk, m.in.: sprzątaczek, kucharek, pomocy biurowych, czy pracowników gospodarczych). Kolejne przykłady braku prawidłowego zachowania organów w zakresie ochrony danych osobowych związane były w ostatnich latach z działaniami komisji rewizyjnych JST, które poprzez niedochowanie należytej ostrożności ujawniają, np. protokoły z posiedzeń. Wskazując, iż podstawą ich działania jest zobowiązanie do zrealizowania obowiązku informacyjnego względem obywateli. Udostępnienie jednakże danych wrażliwych stanowi – bez względu na powołaną podstawę działania - naruszenie zasady ochrony danych osobowych osób korzystających z pomocy społecznej.

Zgodnie z ustawą o ochronie danych osobowych danymi wrażliwymi są dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również dane o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz dane dotyczące skazań, orzeczeń o ukaraniu i mandatach karnych, a także dane o innych orzeczeniach wydanych w postępowaniu sądowym lub administracyjnym. I tak, w przypadku wystąpienia którejkolwiek z powyższych okoliczności uznaje się za konieczne wyłączenie jawności posiedzenia komisji, w odniesieniu do punktu porządku obrad, w którym będą omawiane te dane. Stąd konieczna jest refleksja w podejmowaniu konkretnych działań przez organy samorządowe i ich jednostki. Do naruszeniu ochrony danych może bowiem dojść nie w wyniku braku odpowiednich rozwiązań technologicznych, ale pochopnego postępowania i błędów ludzkich.

GIODO i kolejne problemy (500+)

Realizacja zadań z zakresu pomocy społecznej przez powołane do tego jednostki organizacyjne nie wiąże się więc tylko z ochroną wspomnianych wyżej zbiorów danych osobowych. Ciągłe zmiany legislacyjne, nowe programy społeczne rozszerzają nieustannie ilość przetwarzanych danych.

Na podstawie obowiązujących przepisów generalny inspektor ochrony danych osobowych – wskazywał wielokrotnie konieczność rejestracji przetwarzanych zbiorów danych. Przykładowo, aby móc zbierać i przetwarzać dane osobowe, które zawierają dane wrażliwe (a do grona takich danych – zaliczamy zbiory przetwarzane, np. w związku z realizacją Programu 500+, m.in.: dane o zdrowiu i niepełnosprawności) należy złożyć wniosek do GIODO i dokonać rejestracji w Rejestrze Zbiorów Danych Osobowych.

Dynamiczne zmiany legislacyjne stanowią wyzwanie i mogą budzić znaczne wątpliwości. Przepisy o pomocy państwa w wychowaniu dzieci wprowadzając zmiany w ustawie o ochronie danych osobowych nie odniosły się do kwestii zgłaszania tych zbiorów do GIODO, nie przewidziały również w tym zakresie żadnego zwolnienia. Tym samym, oznacza to, że zbiory przetwarzane w związku z przyjmowaniem i rozpatrywaniem wniosków o przyznanie świadczeń z Programu 500+ muszą być obligatoryjnie zgłaszane do GIODO. Generalny inspektor informował o tym na swoich stronach internetowych już w marcu 2016 r. (http://www.giodo.gov.pl/560/id_art/9154/j/pl). Warto dodać, że kto będąc do tego obowiązanym nie zgłasza do rejestracji zbioru danych, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.

Krzysztof Dzioba, Angelika Kosińska, radca prawny, Kancelaria EY Law

podstawa prawna: Ustawa z 12 marca 2004 r. o pomocy społecznej (tekst jedn. DzU z 2016, poz. 930 ze zm.)

podstawa prawna: Ustawa z 11 lutego 2016 r. o pomocy państwa w wychowywaniu dzieci (DzU 2016 poz. 195)

RODO – co dalej?

Nowa regulacja unijna nie przedstawia wprost instrumentów gwarantujących poufność tych danych. Nowe przepisy RODO nie dają odpowiedzi na pytanie - jak dane mają być chronione. Wymogiem jest jedynie, żeby stosować zabezpieczenia dopasowane do rodzaju przetwarzanych danych. Wrażliwość danych przetwarzanych w MOPS skłania do wniosku, że powinien być to bardzo wysoki poziom zabezpieczeń.

W związku z tym należy pamiętać, że zapewnienie bezpieczeństwa danych wymaga konkretnych rozwiązań prawnych i infrastrukturalnych. Spełnienie wymagań RODO nie będzie jednak możliwe bez zapewnienia, że jednostki odpowiedzialne za przestrzeganie przepisów będą posiadały odpowiedni poziom świadomości, jak również wolę podporządkowania się obowiązkom wynikającym z implementowanych przepisów prawa. I co najważniejsze – będą rozumieć potrzebę ochrony.

Nawet najodpowiedniejsze, najszersze oraz najdalej idące środki prawne stają się bezużyteczne w przypadku błędów podmiotów wynikających z braku świadomości, dobrej woli czy wiedzy. Praca nad wdrożeniem rozwiązań mających na celu zaspokojenie wymagań nowych przepisów europejskich w zakresie ochrony danych osobowych wymaga więc rozwiązań kompleksowych – na które jednostki samorządu terytorialnego mają coraz mniej czasu.

Gmina odpowiada za przetwarzanie danych osobowych przez swoje jednostki. Dlatego w każdym jej działaniu obejmującym przetwarzanie danych osobowych muszą być brane pod uwagę obowiązki w zakresie ochrony danych przed niedozwolonym ich wykorzystaniem, udostępnieniem, zmianą czy usunięciem. Dotyczy to również sytuacji, w których gminy w celu realizacji swoich ustawowych zadań działają przez swoje jednostki organizacyjne. Jak podkreśla generalny inspektor ochrony danych osobowych: „każde przedsięwzięcie związane z przetwarzaniem danych osobowych powinno odbywać się z poszanowaniem zasad wynikających z powszechnie obowiązujących przepisów prawa, w szczególności przepisów ustawy o ochronie danych osobowych i wydanych na jej podstawie aktów wykonawczych, o ile przepisy innych aktów prawnych nie określają w sposób szczególny procesu przetwarzania danych osobowych" (stanowisko z 27 kwietnia 2011 r., znak DOLiS-035-1297/11/19860).

Pozostało 89% artykułu
2 / 3
artykułów
Czytaj dalej. Subskrybuj
Sądy i trybunały
Łukasz Piebiak wraca do sądu. Afera hejterska nadal nierozliczona
Zawody prawnicze
Korneluk uchyla polecenie Święczkowskiego ws. owoców zatrutego drzewa
Konsumenci
UOKiK ukarał dwie znane polskie firmy odzieżowe. "Wełna jedynie na etykiecie"
Zdrowie
Mec. Daniłowicz: Zły stan zdrowia myśliwych nie jest przyczyną wypadków na polowaniach
Materiał Promocyjny
Jak kupić oszczędnościowe obligacje skarbowe? Sposobów jest kilka
Sądy i trybunały
Rośnie lawina skarg kasacyjnych do Naczelnego Sądu Administracyjnego