Sąd: słona kara za sesje rady miasta transmitowane na YouTubie

Przetwarzanie danych na potrzeby dostępu do informacji publicznej podlega RODO. Dotyczy to m.in. transmisji i publikacji sesji organów samorządowych np. rad w BIP przez linki do platformy internetowych jak YouTube.

Publikacja: 29.02.2024 03:00

Sąd: słona kara za sesje rady miasta transmitowane na YouTubie

Foto: Adobe Stock

Tak uznał w środę Naczelny Sąd Administracyjny (NSA) w przełomowym wyroku dotyczącym samorządów, które wykonują swoje obowiązki udostępniania informacji publicznej m.in. poprzez publikowanie w sieci posiedzeń swoich organów.

Sprawa dotyczyła jednego z miast na Kujawach. A kłopoty jego burmistrza zaczęły się w 2019 r. po wizycie kontrolerów z Urzędu Ochrony Danych Osobowych (UODO), którzy zarzucili mu kilka naruszeń. Badano zgodność przetwarzania danych osobowych z przepisami o ochronie danych osobowych, m.in. RODO, w procesie wysyłki korespondencji i prowadzenia Biuletynu Informacji Publicznej (BIP).

Odesłanie z BIP do link na YouTube narusza RODO 

Kontrolerzy m.in. zarzucili, że burmistrz nie zawarł umów powierzenia przetwarzania danych z firmami uczestniczącymi w procesie przetwarzania w BIP. Okazało się bowiem, że zasoby BIP urzędu miejskiego znajdują się na serwerze podmiotu zewnętrznego, który zapewnia parametry techniczne utrzymania strony. Kolejne zastrzeżenia miały związek z obowiązkiem transmisji i publikacji obrad rady miejskiej w BIP przez utworzony kanał na YouTubie. Z ustaleń wynikało, że miasto miało podpisaną umowę z tą popularną platformą jako podmiotem zewnętrznym na transmisję posiedzeń organów miasta w sieci. Na stronie BIP był zamieszczany link do kanału.

Z chwilą zakończenia nagrania sesji zapisywało się ono automatycznie na stronie YouTube, a w urzędzie miejskim nie pozostawała żadna jego kopia. Urzędnicy UODO nie tylko to uznali za naruszenie. Wytknęli burmistrzowi, że decyzja o korzystaniu z YouTube’a nie została poprzedzona analizą możliwych ryzyk wynikających z tego narzędzia podczas przetwarzania danych osobowych uczestników sesji rady. Tymczasem korzystanie przez administratora z zasobów i narzędzi oferowanych przez podmioty zewnętrzne, jak np. popularna platforma YouTube, może wiązać się z wyższym ryzykiem naruszenia ochrony danych osobowych.

Co gorsza, kontrola nie zakończyła się tylko zaleceniami dostosowania operacji przetwarzania danych osobowych do przepisów RODO. Prezes UODO nałożył bowiem na burmistrza jeszcze 40 tys. zł kary.  Samorządowcy nie zgadzali się ani z zarzutami, ani ze słoną karą. Tłumaczyli, że system dostępu do informacji publicznej został przygotowany przez województwo ze środków unijnych. Miasto nie ma wpływu na przyjęte rozwiązania, musiało je wdrożyć, żeby nie narażać się na zarzut niegospodarności. Dlatego w tym przypadku burmistrza nie można uznać za administratora danych. Głównym argumentem było jednak to, że przetwarzanie danych na potrzeby dostępu do informacji publicznej jest w ogóle wyłączone z RODO.

Czytaj więcej

Niezabezpieczone skrzynki e-mail i transmisje na YouTubie. NIK alarmuje

YouTube w BIP nie jest wyłączony z RODO

To nie przekonało Wojewódzkiego Sądu Administracyjnego w Warszawie. Oddalił skargę burmistrza, bo nie dopatrzył się, że prezes UODO naruszył przepisy. Sąd zgodził się, że zgodnie z art. 2 ust. 2a RODO nie ma zastosowania do przetwarzania danych osobowych w ramach działalności nieobjętej zakresem prawa Unii. Niemniej przy jego interpretacji trzeba uwzględnić wykładnię systemową i celowościową. Tymczasem w ocenie WSA interpretacja proponowana przez skarżącego prowadziłaby do absurdu.

Racji ukaranemu burmistrzowi nie przyznał też NSA. Zauważył, że prawo do ochrony danych osobowych jest prawem podstawowym, chronionym także przez regulacje unijne. Sporne wyłączenie z RODO dotyczy np. szeroko rozumianego bezpieczeństwa narodowego, ale w tej sprawie zastosowania nie ma. Jak podkreśliła sędzia sprawozdawca Hanna Knysiak-Sudyka, intencją ustawodawcy nie było bowiem zawężenie stosowania ochrony danych osobowych, ale zwiększenie jej zakresu.

NSA nie miał więc wątpliwości, że przetwarzanie danych na potrzeby dostępu do informacji publicznej podlega RODO. A burmistrz w spornym przypadku jest administratorem danych. Wyrok jest prawomocny.

Sygnatura akt: III OSK 3839/21

dr Dominik Lubasz
radca prawny, partner w kancelarii Lubasz i Wspólnicy

Komentowany wyrok NSA dotyczy ważnej kwestii i będzie miał znaczenie dla praktyki. Zgadzam się z sądem, że burmistrza należy uznać za administratora danych w związku z publikacją sesji rad miejskich. Istotniejsze jest jednak to, że NSA odniósł się wprost do zakresu wyłączenia stosowania RODO w obszarze nieobjętym zakresem prawa Unii. NSA uznał bowiem, że wyłączenie to nie obejmuje przetwarzania danych związanego z udostępnianiem informacji publicznej. Rozstrzygnięcie to jest w tym kontekście o tyle istotne, że od początku stosowania RODO i uchwalenia ustawy o ochronie danych osobowych z 2018 r. trwa dyskusja na temat zakresu luki prawnej wynikającej z braku przepisów krajowych dotyczących ochrony danych osobowych, właśnie w obszarze nieobjętym prawem Unii. Polski ustawodawca nie zdecydował się bowiem na rozwiązanie przyjęte choćby w Niemczech i rozszerzenie zakresu stosowania RODO w przepisach krajowych, by taką lukę zlikwidować. Komentowane rozstrzygnięcie NSA, czyni, że wątpliwości dotyczące zastosowania RODO do udostępniania informacji publicznej, w kontekście analizowanego wyłączenia przestają być aktualne. NSA poszedł tu śladem Trybunału Sprawiedliwości UE, który w sprawie C-439/19, który podzielając opinię rzecznika generalnego Macieja Szpunara, stwierdził, że wyjątek z art. 2 ust. 2 lit. a) RODO, czyli ten, który również był analizowany przez NSA, powinien, podobnie jak inne wyjątki, podlegać ścisłej wykładni. Ponadto należy odczytywać go w związku z art. 2 ust. 2 lit. b) i motywem 16, który wyjaśnia, że RODO nie ma zastosowania do przetwarzania danych osobowych w kontekście „działań, które nie wchodzą w zakres stosowania prawa Unii, takich jak działania związane z bezpieczeństwem narodowym” oraz „działań związanych ze wspólną polityką zagraniczną i bezpieczeństwa Unii”. Tym torem poszedł wydaje się również NSA odwołując się do art. 6 ustawy o ochronie danych osobowych. Przesądzone zatem zostało, że do udostępniania informacji publicznej, przepisy RODO znajdują zastosowanie, co powoduje, że administratorzy, w tym podmioty sektora publicznego, korzystający z zewnętrznych dostawców, m.in. takich jak YouTube, zobowiązani są do realizacji zobowiązań jakie RODO na nie nakłada, w tym przypadku zwłaszcza w zakresie odnoszącym się do zawarcia stosowanej umowy powierzenia i zapewnienia realizacji obowiązku zapewnienia ciągłości dostępności danych.

Sądy i trybunały
Sędzia Piebiak może stracić immunitet. Oskarża go były lider KOD
Materiał Promocyjny
Tajniki oszczędnościowych obligacji skarbowych. Możliwości na różne potrzeby
Konsumenci
Frankowicze mają nowy sposób na banki. Donoszą do prokuratury
Podatki
Ryczałtowcy chcą dzielić biznes, by obniżyć składkę zdrowotną
Praca, Emerytury i renty
Będzie dodatkowa waloryzacja emerytur i rent. Rząd odsłania karty
Materiał Promocyjny
Naukowa Fundacja Polpharmy ogłasza start XXIII edycji Konkursu o Grant Fundacji
Nieruchomości
Mieszkania społeczne. Koniec wyodrębniania na własność