Udostępnienie danych osobowych urzędnikom

Kiedy przetwarzanie danych osobowych jest dopuszczalne?

Gmina powołuje się na brzmienie art. 23 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Stanowi on, że:

„1. Przetwarzanie danych jest dopuszczalne tylko wtedy, gdy:

1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych,

2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,

3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,

4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,

5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą”.

Warto zauważyć, że ustawodawca nie sformułował w tym przepisie w sposób wyraźny zasady zakazu przetwarzania danych osobowych, do których ten przepis się odnosi, a więc danych innych niż dane wrażliwe. Zasada udostępniania danych wrażliwych sformułowana została w art. 27 ust. 1 ustawy, a skoro tak, to w przypadku danych zwykłych (a więc innych danych niż dane wrażliwe) nie mamy do czynienia z zasadą zakazu ich przetwarzania.

Ponieważ dane o dochodach czy wysokości ponoszonych przez Pana opłat są danymi wrażliwymi, w Pana przypadku będziemy mieli do czynienia z przepisem art. 27 ustawy, który w ust. 2 stanowi, że:

„2. Przetwarzanie danych, o których mowa w ust. 1, jest jednak dopuszczalne, jeżeli:

1) osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych,

2) przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony,

3) przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody, do czasu ustanowienia opiekuna prawnego lub kuratora,

4) jest to niezbędne do wykonania statutowych zadań kościołów i innych związków wyznaniowych, stowarzyszeń, fundacji lub innych niezarobkowych organizacji lub instytucji o celach politycznych, naukowych, religijnych, filozoficznych lub związkowych, pod warunkiem, że przetwarzanie danych dotyczy wyłącznie członków tych organizacji lub instytucji albo osób utrzymujących z nimi stałe kontakty w związku z ich działalnością i zapewnione są pełne gwarancje ochrony przetwarzanych danych,

5) przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem,

6) przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie,

7) przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych,

8) przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dane dotyczą,

9) jest to niezbędne do prowadzenia badań naukowych, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego; publikowanie wyników badań naukowych nie może następować w sposób umożliwiający identyfikację osób, których dane zostały przetworzone,

10) przetwarzanie danych jest prowadzone przez stronę w celu realizacji praw i obowiązków wynikających”.

Udostępnianie danych osobowych między urzędami administracji

Udostępnienie Pana danych osobowych w zakresie danych wrażliwych mogło nastąpić wyłącznie po spełnieniu jednego z warunków powyższego przepisu. Udostępnianie danych uznane zostało za jedną z form przetwarzania danych osobowych i nie zostało uregulowane w sposób szczególny. Natomiast z faktu, że udostępnianie danych osobowych stanowi formę ich przetwarzania, wynika, że każdy z administratorów danych zaangażowanych w ten proces samodzielnie ponosi odpowiedzialność za zgodne z prawem przetwarzanie danych osobowych. Innymi słowy, administrator udostępniający dane osobowe musi legitymować się podstawą prawną dla udostępnienia danych, podczas gdy administrator zbierający w ten sposób dane osobowe musi dysponować podstawą prawną pozwalającą mu na przetwarzanie otrzymanych danych. Podstawą z kolei udostępnienia danych osobowych na rzecz gminy, która należy do podmiotów z sektora publicznego, może być wyłącznie przepis prawa (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Warszawa 2004, s. 598; podobnie: E. Kulesza w odniesieniu do żądania przez Kasy Chorych udostępniania danych osobowych bez stosownej podstawy prawnej – E. Kulesza, Zbyt częste nieprawidłowości, „Rzeczpospolita” 1.2.2000 r.).

W konsekwencji prowadzi do wniosku, że na wnioskodawcy (tutaj: gminie) ciążył obowiązek wskazania – we wniosku o udostępnienie danych – podstawy prawnej, na której opierać się ma udostępnienie danych osobowych. Podstawę tę będą stanowić będą przepisy, o których mowa w art. 23 ust. 1 pkt 2 (przy danych zwykłych) albo art. 27 ust. 2 pkt 2 (przy danych wrażliwych) ustawy. Zgodnie z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepisem odpowiadającym mu funkcjonalnie w odniesieniu do danych osobowych wrażliwych jest art. 27 ust. 2 pkt 2 ustawy, który zezwala na przetwarzanie danych osobowych wrażliwych pod warunkiem, że przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony.

Przetwarzanie danych osobowych jest bowiem dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Warunkiem uznającym przetwarzanie danych osobowych za zgodne z prawem w oparciu o przesłankę legalizującą, wskazaną w art. 23 ust. 1 pkt 2 czy 27 ust. 2 pkt 2 ustawy, jest więc łączne spełnienie następujących warunków:

1. istnienie odpowiedniego przepisu prawa, który przyznaje podmiotowi uprawnienie lub nakłada na niego obowiązek;
2. niezbędność przetwarzania danych dla zrealizowania tego uprawnienia lub spełnienia obowiązku wynikającego z tego przepisu.

Jako przykład przepisów prawa stanowiących podstawę prawną udostępnienia danych osobowych na rzecz podmiotów z sektora publicznego można wskazać:

1. art. 34 ust. 2 ustawy z 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego i Agencji Wywiadu (j.t.: Dz. U. z 2010 r. Nr 29, poz. 154 ze zm.), nakazujący udostępnianie danych na rzecz imiennie upoważnionego funkcjonariusza;
2. art. 14 ust. 5 ustawy z 6.4.1990 r. o Policji (j.t.: Dz. U. z 2011 r. Nr 287, poz. 1687 ze zm.), nakazujący udostępnianie danych na rzecz imiennie upoważnionego policjanta.

W praktyce GIODO zwrócono również uwagę na wiele sytuacji, w których – w ocenie organu ochrony danych osobowych – uzasadnione jest przyjęcie, że wnioskodawca zwraca się o udostępnienie danych na podstawie przepisu prawa: np. w sytuacji uprawnienia przedstawicieli gminy do wglądu w dokumentację prowadzoną przez placówki oświatowo-wychowawcze, w tym w dziennik zajęć zawierający dane osobowe dzieci, w ramach wykonywania przez gminę uprawnień nadzorczych, na podstawie art. 33 ust. 3 pkt 2 ustawy z 7 września 1991 r. o systemie oświaty (j.t.: Dz. U. z 2004 r. Nr 256, poz. 2572 ze zm.).

Udostępnienie danych osobowych sądom i organom prowadzącym postępowania administracyjne

Z kolei podstawą udostępnienia danych sądom i organom prowadzącym postępowania administracyjne są przepisy proceduralne dotyczące obowiązku przytoczenia dowodów lub dostarczenia dowodów.

Organami prowadzącymi postępowanie administracyjne są organy administracji publicznej, do których należą:

1. organy administracji rządowej;
2. organy administracji jednostek samorządu terytorialnego (gminy, powiaty, województwa).

Gmina w prowadzonym przez siebie postępowaniu administracyjnym w zakresie przyznania bądź odmowy przyznania Panu mieszkania komunalnego, w powołaniu na przepisy proceduralne Kodeksu postepowania administracyjnego mogłaby się zatem zwrócić o udostępnienie danych w celu zebrania dowodów pozwalających jej na podjęcie stosownej decyzji administracyjnej. Jednakże podstawą taką nie jest toczące się postępowania sądowe (które nie jest postępowaniem administracyjnym), w którym gmina jest stroną tego postępowania, ponieważ w takim przypadku jedynie sąd może zwrócić się o takie dowody.

To oznacza, że gmina zwracając się o udostępnienie Pana danych, nie mogła odwoływać się wyłącznie do przepisu art. 23 ust. 1 pkt 2 czy art. 27 ust. 2 pkt ustawy, ponieważ oba te przepisy nakładają na nią obowiązek wskazania szczególnego przepisu ustawy uprawniająca ją do uzyskania Pana poufnych danych.

Gmina nie może też odnieść się do przepisu art. 23 ust. 1 pkt 4 ustawy, powołując się na dobro publiczne. Jak zauważa GIODO, art. 23 ust. 1 pkt 4 ustawy stosuje się w sytuacji, gdy nie ma odpowiednich przepisów wprost upoważniających do przetwarzania danych osobowych. Mimo że pojęcie zadań realizowanych dla dobra publicznego użyte w treści powołanego przepisu w nauce prawa utożsamiane jest z pojęciem zadań publicznych, przyjmuje się również, że art. 23 ust. 1 pkt 4 ustawy nie może stanowić podstawy prawnej dla przetwarzania danych osobowych w związku z działalnością organów władzy publicznej o charakterze władczym. Jak wskazał NSA w wyroku z 6 grudnia 2001 r. (I SA/Gd 1977/99, FK 2001, Nr 3, s. 78), niedopuszczalne jest powoływanie się na tę przesłankę w razie prowadzenia przez podmiot publiczny działalności gospodarczej (tj. działalności mającej cel zarobkowy). A wziąwszy pod uwagę, że przepis ten dotyczy danych zwykłych, nadal nie ma podstawy do ubiegania się o podanie danych wrażliwych związanych z Panem.

Reasumując – podstawą udostępnienia danych gminie mogą być przepisy proceduralne, stosowane w przypadku, gdy gmina prowadzi postępowania administracyjne w celu wydania stosownej decyzji, a uzyskane dane konieczne są jako dowody. Jednakże gmina nie może ubiegać się o udostepnienie danych osobowych w trybie przepisów proceduralnych, gdy toczy się postepowania sądowe, w którym gmina jest stroną.