Dr Wiewiórowski: Chcą zbierać od nas za dużo danych osobowych

Rz: Przybywa zbiorów danych osobowych, które są zgłaszane do GIODO. Czy to znaczy, ?że coraz więcej podmiotów przetwarza informacje o nas?

Dr Rafał Wiewiórowski:

Na pewno wzrosła świadomość podmiotów, które gromadzą takie dane, że powinny zgłosić swoje zbiory do GIODO. W 2007 r. zgłoszono ich ok. 4,8 tys. W 2013 r.  ponad 28 tys. To sześciokrotnie więcej! W tej chwili rejestrujemy rocznie prawie 18 tys. zbiorów.

Czyli jest kolejka?

Umożliwiając pełną obsługę procedury poprzez ePUAP, będziemy w stanie sytuację trochę poprawić. Dziś bowiem wiele podmiotów, nawet jeśli wypełniają zgłoszenie zbioru do rejestracji w postaci elektronicznej, musi te dokumenty wydrukować, podpisać ?i dosłać do Biura. To spowalnia cały proces. Trzeba zaznaczyć, że od 2007 r. mamy taki sam budżet i pracujemy w takim samym składzie osobowym. Środki na działalność generalnego inspektora ochrony danych osobowych były waloryzowane tylko ?o inflację.

Czy dzięki temu, że więcej zbiorów jest rejestrowanych przez GIODO, nasze dane są bezpieczniejsze?

Mam wątpliwości, czy samo zgłaszanie zbiorów zwiększa bezpieczeństwo danych. Dlatego uważam, że należy zmienić przepisy, co zresztą przewiduje projekt unijnego rozporządzenia, nad którym trwają prace. Nie czekając jednak na jego wejście w życie, taką zmianę zaproponowaliśmy w projekcie tzw. ustawy deregulacyjnej, który trafił do Sejmu. Uważam, że w większości podmiotów przetwarzających dane wystarczy powołanie administratora bezpieczeństwa informacji. To on powinien mieć taki rejestr u siebie. Przekazanie GIODO informacji, kto pełni ?taką funkcję, byłoby ?w większości przypadków wystarczające.

W jakich sytuacjach nie chciałby pan rezygnować ?z konieczności rejestracji zbiorów?

Trzeba rejestrować zbiory zawierające tzw. dane wrażliwe. Sprawdzamy bowiem, czy dany podmiot jest uprawniony do ich zbierania i wykorzystywania, zanim taki zbiór zacznie funkcjonować. Najwięcej wątpliwości mamy zazwyczaj co do informacji o stanie zdrowia czy karalności. Ustawa wymienia wprawdzie jako dane wrażliwe także te dotyczące ?m.in. poglądów politycznych, przekonań filozoficznych i religijnych czy przynależności związkowej, ale one rzadziej są zbierane. Warto jednak wspomnieć, że ostatnio sąd administracyjny przychylił się do decyzji GIODO, że samo zbieranie próbek, z których można wyodrębnić dane genetyczne, stanowi przetwarzanie wrażliwych danych osobowych. W takich właśnie sytuacjach obowiązek zgłaszania zbioru do rejestracji powinien pozostać. W pozostałych  proponuję stopniowe odchodzenie od niego.

Dziś rejestracja zbiorów to ogromna machina. Taka zmiana pozwoliłaby zmniejszyć biurokrację?

Moim zdaniem tak, chociaż nie uważam, ?że te przepisy zawsze były zbędne. W 1997 r., gdy ustawa wchodziła w życie, zmusiły wszystkich do przejrzenia, jakie zbiory danych osobowych posiadają, a przede wszystkim,  na ile są one bezpieczne.

Odejście od tego obowiązku pozwoliłoby dziś na zajęcie się bardziej realnymi problemami związanymi z ochroną danych?

Na działalność, która jest najbardziej istotna. Jako przykład podam niedawny wyciek  danych osób, w tym celebrytów, zamawiających posiłki dietetyczne. Firma świadcząca tę usługę nie miała obowiązku zarejestrowania zbioru. Dane przetwarzane były bowiem na potrzeby wykonania zamówienia konkretnego klienta. Ustawa wyłącza w takich sytuacjach obowiązek rejestracji zbioru. Samo zgłoszenie nie zapewniłoby jednak bezpieczeństwa. Ważne jest w tej sytuacji, czy w tej firmie był administrator bezpieczeństwa informacji i jak wypełniał swoją funkcję, tzn. czy dane były ?w odpowiedni sposób zabezpieczone.

Czy w tej sprawie będzie pan podejmował jakieś działania?

Być może będzie wszczęte postępowanie ?z urzędu sprawdzające działalność i administratora danych i podmiotu, który te dane przetwarzał, by ustalić przyczynę wycieku.

Z danych przedstawionych w sprawozdaniu rocznym wynika, że do GIODO wpływa z roku na rok coraz więcej skarg. Czy przepisy są coraz częściej łamane?

Większa liczba skarg, podobnie jak rejestrowanych zbiorów, także wynika z coraz większej znajomości przepisów o ochronie danych osobowych.

Czy te skargi są zasadne?

Oczywiście nie zawsze. Część dotyczy kwestii, które nie należą do naszych kompetencji – np. tzw. spamu. Niestety, ?nie ma w naszym kraju instytucji, która zajmowałaby się właśnie tym problemem. Wysyłanie niezamówionej informacji handlowej czy też telefonów z ofertami wykonywanymi na losowo wybrane numery nie jest jednak   przetwarzaniem danych osobowych. Taki telemarketer nie zna bowiem naszej tożsamości. Sam jestem tego doskonałym przykładem. Odbieram takie telefony i nie sądzę, żeby telemarketer wiedział, że rozmawia właśnie z generalnym inspektorem ochrony danych osobowych.

Co słyszy taka osoba dzwoniąca do pana z ofertą?

Pytanie, skąd ma moje dane osobowe. Czyli to, co powinna usłyszeć od każdego z nas.

Jakie jeszcze skargi, które trafiają do GIODO, są bezzasadne?

Często ochrona danych osobowych jest mylona z ochroną dóbr osobistych. Trafiają do nas skargi od osób, które np. poczuły się obrażone czyjąś wypowiedzią. Oczywiście to nie jest sprawa dla nas, tylko dla sądu powszechnego.

Podczas prezentowania informacji rocznej wspominał pan także, że niektóre skargi mogą wypływać  z pobudek odwetowych, np. w stosunku do banków, które w czasach kryzysu są bardziej stanowcze wobec klientów.

Mamy takie podejrzenie, że   część  osób, które składają skargi, zdaje sobie sprawę ?z tego, że w ich przypadku wszystko było ?w porządku. Chcą jednak, by GIODO „sprawdził", w jaki sposób konkretna instytucja przetwarza dane osobowe.

W jakich instytucjach najczęściej rzeczywiście dochodzi do naruszeń?

Wiele zasadnych skarg dotyczy sektora finansowego. Spora część odnosi się do działalności Biura Informacji Kredytowej. Osoby, które już spłaciły zobowiązania, nadal widnieją bowiem w tym rejestrze jako dłużnicy. Po sprawdzeniu często okazuje się jednak, że wina leży nie po stronie BIK, lecz po stronie instytucji finansowych, które bardzo przykładają się do zgłaszania dłużników do BIK, ale już z o wiele mniejszą dbałością podchodzą do informowania BIK ?o spłaconych długach. Ze sporą liczbą naruszeń mamy też do czynienia w działalności administracji publicznej.

Jakie błędy popełniają urzędnicy?

Większość naruszeń dotyczy jednostek samorządu terytorialnego. Z poważniejszymi kwestiami mamy do czynienia, gdy dane przetwarzają tzw. zespoły interdyscyplinarne wykonujące zadania gminy z zakresu przeciwdziałania przemocy w rodzinie. Inne to chociażby ujawnianie w uchwałach czy ?w BIP danych osób, które kierowały do danej jednostki samorządu jakieś skargi czy zgłaszały uwagi w ramach konsultacji. O ile np. nie ma wątpliwości, że miejscowy plan zagospodarowania przestrzennego przyjmowany w formie uchwały rady gminy jest aktem prawa miejscowego i powinien być publikowany w wojewódzkim dzienniku urzędowym, o tyle nie ma powodu, by ?w uchwale znajdowały się nazwiska i adresy zamieszkania wszystkich osób, które zgłaszały do niego uwagi. Prowadzi to bowiem do niepotrzebnego upublicznienia tych danych, a przecież wystarczy, że pozostaną one ?w wewnętrznej dokumentacji gminy. Dużo problemów związanych było z tzw. ustawą śmieciową. Niektóre samorządy potraktowały zbieranie danych na potrzeby obliczenia opłaty za gospodarowanie odpadami jako okazję do przeprowadzenia lokalnego spisu powszechnego. Jedna z gmin w formularzu umieściła niemal 300 pytań. Dotyczyły ?m.in. stopnia pokrewieństwa osób wspólnie mieszkających. Oczywiście nie miało to żadnego znaczenia dla ustalenia obowiązków związanych z gospodarką odpadami...

Która ze spraw, jakimi zajmował się pan podczas swojej pierwszej kadencji, była dla pana najtrudniejsza?

Niełatwe są wszystkie sprawy dotyczące przetwarzania danych w różnorodnych systemach informacyjnych, co do których nie wiadomo, do czego w przyszłości zostaną wykorzystane. Tak jest np. w przypadku przetwarzania danych przez policję czy też nowych systemów związanych z ochroną zdrowia. Sposób korzystania z tych systemów i lista podmiotów, które będą miały dostęp do zawartych w nich informacji, nie są bowiem często dostatecznie precyzyjnie określone. Dlatego uważnie przyglądamy się tym projektom.

Jakie inne zadania widzi pan przed swoim urzędem w związku z kolejną kadencją, na którą został pan wybrany przez Sejm?