Dane osobowe pod wewnętrzną kontrolą

Przedmiotem polemik są dwie, z pozoru odległe od siebie, sytuacje. Pierwsza dotyczy obecności przy wręczaniu wypowiedzenia umowy o pracę innego pracownika (świadka). W trakcie czynności poznaje on dane osobowe związane z wypowiedzeniem, choćby ze względu na przysłuchiwanie się dyskusji w trakcie zwalniania. Druga odnosi się do ostatnich wyborów samorządowych. Pracownik jednego z urzędów miejskich pozyskał od innego pracownika dane osób korzystających z kart miejskich, aby później wykorzystać je do przesłania materiałów wyborczych urzędującego prezydenta miasta. Wspólnym mianownikiem dla tych dwóch sytuacji jest to, że odnoszą się do dostępu pracowników do danych osobowych w swoim zakładzie pracy oraz są związane z obowiązkami osób przetwarzających dane.

[srodtytul]Nadać upoważnienie[/srodtytul]

W [link=http://www.rp.pl/aktyprawne/akty/akt.spr;jsessionid=85181CE721AE8268356986DCE674A763?id=166335]ustawie z 29 sierpnia 1997 r. o ochronie danych osobowych (DzU z 2002 nr 101, poz. 926 ze zm.[/link]; dalej ustawa) środkiem służącym w sferze wewnętrznej do określania, kto i w jakim zakresie może przetwarzać dane osobowe, jest upoważnienie do przetwarzania danych osobowych. Niestety, regulacja zawarta w ustawie jest dosyć lakoniczna.

Stosownie do treści art. 37 do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych. Takim administratorem będzie (art. 7 pkt 4) każdy podmiot decydujący o celach i środkach przetwarzania (np. pracodawca w stosunku do danych pracowniczych). Administrator danych ma obowiązek prowadzić ewidencję osób upoważnionych zawierającą w szczególności zakres ich upoważnienia do przetwarzania danych osobowych (art. 39 ust. 1). Przedmiotem upoważnienia jest zatem nie tylko dopuszczenie konkretnej osoby do przetwarzania danych, ale również określenie zakresu tego dopuszczenia. Ewidencja służy bowiem jedynie do rejestrowania nadanych upoważnień. Z kolei osobę upoważnioną zobligowano do zachowania w tajemnicy treści danych osobowych oraz informacji o sposobach ich zabezpieczenia (ust. 2).

Wspomniane przepisy znajdują się w rozdziale 5 dotyczącym zabezpieczenia danych osobowych, czyli upoważnienie należy traktować jako organizacyjny środek zabezpieczający dane. Jego celem nie jest jednak uniemożliwianie czy utrudnianie pracownikom wykonywania ich obowiązków, ale właściwa kontrola nad tym, kto z nich i do jakich danych ma dostęp. Realizacja tego założenia wymaga przygotowania organizacyjnego w zakładzie pracy, w szczególności opracowania i wdrożenia odpowiedniej procedury. Warunek upoważnienia ma zresztą szerszy zakres, bo dotyczy nie tylko pracowników, ale i wszystkich osób podlegających administratorowi danych w jego sferze wewnętrznej (praktykantów, stażystów, wolontariuszy itp.) bez względu na charakter łączącego ich stosunku.

[srodtytul]Co może administrator[/srodtytul]

Lakoniczność norm dotyczących upoważnienia sprawia trudności w doprecyzowaniu obowiązków administratora danych i upoważnionego. Nie można się zgodzić z poglądem, że administrator ma pełną dowolność w nadawaniu upoważnień oraz określaniu ich zakresu. Wiążą go trzy rodzaje ograniczeń.

Pierwszy to określony w art. 26 ust. 1 pkt 3 ustawy obowiązek zachowania adekwatności danych w stosunku do celów, w jakich są przetwarzane. Warunek ten dotyczy również sfery wewnętrznej, ponieważ administrator decyduje o dostępie do danych osobowych również w swojej jednostce, właśnie poprzez upoważnianie. W związku z tym powinien on określić zakres danych przetwarzanych przez pracownika adekwatnie do celu, jakim w wypadku pracownika jest wykonywanie przez niego obowiązków pracowniczych.

Przyjęcie innego stanowiska, dopuszczającego pełną arbitralność administratora, prowadzi m.in. do niezasadnego wniosku, że dostęp do danych zawartych w dokumentacji pracowniczej konkretnej osoby mogą mieć wszyscy inni pracownicy, jeśli tylko administrator nada im upoważnienie. Trudno również zaakceptować przyznanie upoważnienia do danych pracowniczych osobie, której obowiązki są zupełnie niezwiązane ze sprawami pracowniczymi (np. magazyniera), a upoważnienie służy wyłącznie temu, aby była ona obecna przy wręczaniu wypowiedzenia innemu pracownikowi. Pracodawca musi wziąć pod uwagę, że przy tej czynności może dojść do ujawnienia danych dotyczących stosunku pracy zwalnianego. Dlatego obecne mogą być jedynie osoby, których zakres obowiązków uzasadnia zapoznanie się z takimi informacjami (np. pracownik działu kadr, przełożony zwalnianego).

Drugie ograniczenie administratora związane jest z obowiązywaniem ustaw przewidujących dalej idącą ochronę danych (również w sferze wewnętrznej) niż ustawa o ochronie danych osobowych. Nadawanie upoważnień nie może naruszać zasad dostępu określonych w tych ustawach, np. chroniących tajemnice zawodowe. Niedopuszczalne będzie nadanie upoważnienia z naruszeniem zasad tajemnicy zawodowej.

Ponadto upoważnienie nie może ingerować w sytuacje, gdy bezpośrednio z mocy ustawy wynika dostęp osoby wykonującej określony zawód do danych z nim związanych. Potwierdziło to orzecznictwo sądów administracyjnych, przyznające prokuratorowi dostęp do danych zawartych w aktach prowadzonej przez niego sprawy, bez potrzeby uzyskiwania upoważnienia administratora danych.