Przez ustawę 500 plus dane osobowe rodzin dostępne niemal dla wszystkich

Ustawa o pomocy państwa w wychowaniu dzieci (tzw. ustawa 500+) była inicjatywą rządową i na etapie przygotowywania i konsultowania projektu nie było mowy o nowelizowaniu „przy okazji" ustawy o ochronie danych osobowych. Propozycja zmiany pojawiła się na etapie obrad Komitetu Stałego Rady Ministrów, nie bez przyczyny – opublikowanemu wcześniej projektowi zarzucono m.in., że zakłada zbieranie danych osobowych dotyczących osób korzystających z programu, które miały być następnie udostępniane administracji rządowej przez administrację samorządową dokonującą wypłat na podstawie ustawy. Ta procedura udostępniania danych od początku wzbudzała wiele wątpliwości – mówiąc wprost, nie miała żadnych podstaw prawnych. Co więc na to autorzy projektu? Zaproponowano zmiany w ustawie o ochronie danych osobowych jako odpowiedź na uwagi do projektu.

Kilku administratorów

W efekcie w uchwalonej ustawie 500+ znalazł się art. 38 wprowadzający dwie – fundamentalne – zmiany w prawie ochrony danych osobowych. Po pierwsze, w art. 23 ustawy o ochronie danych osobowych po ust. 2 dodano ust. 2a w brzmieniu: „Podmioty, o których mowa w art. 3 ust. 1, uważa się za jednego administratora danych, jeżeli przetwarzanie danych służy temu samemu interesowi publicznemu". Po drugie, w art. 31 po ust. 2 dodano ust. 2a w brzmieniu: „Nie wymaga zawarcia umowy między administratorem a podmiotem, o którym mowa w ust. 1, powierzenie przetwarzania danych, w tym przekazywanie danych, jeżeli ma miejsce między podmiotami, o których mowa w art. 3 ust. 1".

Pierwsza zmiana dotyczy pojęcia administratora danych w sferze publicznej (organy władzy publicznej i podmioty prywatne wykonujące zadania publiczne). Administrator danych to fundamentalna instytucja dla prawa ochrony danych osobowych – to podmiot, który podejmuje decyzje dotyczące przetwarzanych przez niego danych osobowych (decyduje o celach i środkach przetwarzania danych) i który ponosi odpowiedzialność za przetwarzane przez siebie dane osobowe.

Ponosi odpowiedzialność, a więc osoby, których dane dotyczą, mogą złożyć skargę na jego działania i zaniechania do generalnego inspektora ochrony danych osobowych, a GIODO może mu nakazać lub zakazać określonych działań.

Organy władzy publicznej, będąc administratorami danych, nie korzystają z takiej swobody jak podmioty ze sfery prawa prywatnego – władza publiczna może z naszymi danymi osobowymi zrobić to, na co zezwala jej prawo.

To przepisy prawa wyznaczają zakres uprawnień władzy publicznej wobec naszych danych osobowych i tej zasady ustawa 500+ nie zmienia (jej zmiana wymagałaby zmiany konstytucji). Ale nowy art. 23 ust. 2a ustawy o ochronie danych osobowych powoduje, że organy władzy publicznej, które na podstawie przepisów prawa przetwarzają nasze dane osobowe dla realizacji tego samego interesu publicznego, uważane są za jednego administratora danych.

Czymże jest więc ten „interes publiczny" i co to znaczy, że kilka podmiotów uznawanych jest za jednego administratora danych?

Leksykon Prawa Administracyjnego (Warszawa 2009, s. 100–104) definiuje interes publiczny jako relację między jakimś stanem obiektywnym (aktualnym lub przyszłym) a oceną tego stanu z punktu widzenia korzyści, które on przynosi lub może przynieść jakiejś jednostce lub grupie społecznej. Wiemy, czym jest interes publiczny? Nie, nie wiemy. Leksykon Prawa Gospodarczego Publicznego (Warszawa 2009, s. 66–72) opisuje interes publiczny jako normatywną wskazówkę powinnościową wyznaczającą zakres i treść wartości uznawanych przez daną społeczność za zasługujące na ochronę bez względu na indywidualne przekonania jednostek. Czy coś nam to mówi? Niewiele. I tak dalej, i tak dalej, monografia za monografią – nie da się odpowiedzieć konkretnie, czym jest ten „interes publiczny". A za pomocą tego pojęcia mamy obecnie oceniać, kto jest administratorem danych osobowych w sferze publicznej.

Zapomniano o definicji

Załóżmy przez chwilę, że wiemy, czym jest interes publiczny: podmioty, które przetwarzają dane dla tego samego interesu publicznego, uważa się za jednego administratora danych. Jednego? Raczej te podmioty są jednocześnie administratorem tych samych danych, bo autorzy projektu ustawy 500+ zapomnieli zmienić definicję administratora danych, którym w sferze publicznej nadal jest organ (władzy publicznej).

Nie ma więc „zbiorowego" administratora danych – kilka podmiotów jest nim jednocześnie wobec tych samych danych. Przykład? Żeby pozostać na gruncie ustawy 500+: administratorem danych osób korzystających ze wsparcia dla rodzin będą jednocześnie organy gmin wypłacające świadczenia oraz wszelkie inne organy władzy publicznej (administracji rządowej), które wykonują ustawę (bo wszystkie działają dla tego samego interesu publicznego, jaki tutaj akurat łatwo jest zidentyfikować: jest nim wsparcie rodzin).

Efekt? Przekazywanie danych pomiędzy tymi podmiotami nie będzie już udostępnianiem danych, a więc nie wymaga zaistnienia żadnej szczególnej podstawy prawnej; będzie się odbywało tak, jak przekazanie danych pomiędzy wydziałami tego samego urzędu. Oznacza to, że organy władzy publicznej, które nie są właściwe w danej sprawie, będą miały teraz dostęp do naszych danych osobowych jako ich współadministrator. Na zasadzie działania w tym samym interesie publicznym. Beneficjentem tych nowych uprawnień będzie w większości administracja rządowa – wystarczy, że finansuje określone działania, i już można twierdzić, że przez to działa w tym samym interesie publicznym. Gwałtownie zwiększy się więc zakres organów władzy publicznej, które będą miały dostęp do naszych danych.