Szkoły i urzędy powinny sprawdzić BIP. Pierwsza kara RODO na podmiot publiczny

Definicje:

- RODO -  (EU GDPR (eng) – European Union General Data Protection Regulation) – regulacja prawna dotycząca ochrony danych osobowych, mająca na celu m.in. zapewnienie swobodnego przepływu danych osobowych pomiędzy państwami członkowskimi oraz ochronę prywatności w świetle rozwoju nowych technologii.

- UODO – organ nadzorczy, właściwy do spraw ochrony danych osobowych na terytorium RP.

- BIP - Biuletynu Informacji Publicznej – ujednolicony system stron internetowych stworzony w celu powszechnego udostępniania informacji publicznej. BIP, powinny mieć wdrożone organy władzy publicznej, jednostki samorządu terytorialnego, urzędy, organy samorządów gospodarczych i zawodowych, związki zawodowe i ich organizacje, partie polityczne, sądy i wiele innych podmiotów publicznych.

Ochronę danych osobowych w Polsce od 1997 r. regulowała ustawa, jednakże dopiero w maju 2018 r. wraz z wprowadzeniem w całej UE RODO, wdrożono sankcje w postaci wysokich kar finansowych nakładanych na administratorów danych osobowych. Administratorami danych osobowych są zarówno przedsiębiorcy, jak również jednostki publiczne. 30 października 2019 r. okazało się, że tak samo jak na przedsiębiorców, tak samo na jednostki publiczne mogą zostać nałożone dotkliwe kary, za niestosowanie przepisów o ochronie danych osobowych. 

Prezes UODO na stronie https://uodo.gov.pl/pl/138/1240 poinformował, że wymierzył karę w wysokości 40.000 zł Burmistrzowi miasta za:

1. Brak umowy powierzenia danych osobowych z firmą, która dostarczyła i serwisowała obowiązkowy dla wszystkich jednostek publicznych BIP (naruszenia art. 28 ust. 3 RODO);

Podstawowym problemem związanym z umowami powierzenia, z jakim borykają się administratorzy (tzn. urzędy, przedsiębiorcy, szkoły, szpitale itp.) jest odpowiedź na pytanie, czy umowę o powierzeniu przetwarzania danych osobowych w konkretnej sytuacji należy w ogóle zawrzeć.

Umowa o powierzeniu danych osobowych to podstawa prawna do powierzenia danych osobowych przez administratora innemu podmiotowi, która służy głównie przy zlecaniu prac/wykonaniu usług firmą zewnętrznym. Administrator określa cel i zakres przetwarzania danych osobowych, a podmiot powierzający działa w imieniu administratora i zapewnia środki techniczne i organizacyjne do zapewnienia bezpiecznego przetwarzania danych osobowych.

Burmistrz miasta i każda jednostka publiczna ma obowiązek wynikający z przepisów prawa do wdrożenia systemu BIP, dlatego zamawia w firmie programistycznej odpowiednie oprogramowanie. W związku z tym, że w celu wykonania systemu, niezbędne jest przetwarzanie danych osobowych przez firmę programistyczną, Burmistrz jako administrator danych osobowych ma obowiązek podpisać umowę o powierzeniu przetwarzania danych osobowych.

Przykłady powierzenia danych osobowych to również m.in. zewnętrzna obsługa kadrowo-płacowa, archiwizacja dokumentów, ochrona, usługi informatyczne, usługi kurierskie.  

Odpowiedzialność za zawarcie umowy i powierzenie przetwarzania danych przez odpowiedni podmiot leży na administratorze. Umowa może zostać zawarta w formie pisemnej, jak również elektronicznej.

UODO wskazuję, że przez brak umowy, Burmistrz nie miał podstawy prawnej do udostępniania danych osobowych, co naruszyło zasadę poufności i zasadę przetwarzania danych zgodnie z prawem.

2. Nieprzestrzeganie zasady ograniczonego przechowywania (tzw. retencja danych) w systemie BIP

Zasada ograniczonego przechowywania danych wynikająca z RODO wskazuje, że administrator powinien przechowywać dane osobowe w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane.

W BIP, kontrolerzy UODO znaleźli dokumentacje z 2010 r., która według przepisów powinna zostać usunięta po 6 latach. RODO też wskazuje, że jeżeli przepisy prawa nie regulują okresu przez jaki należy przetwarzać dane, administrator sam ustala adekwatnie do celów przez jaki czas będzie przetwarzał dane osobowe.

3. Brak kopii zapasowych nagrań

Jako uchybienie Prezes UODO wskazał brak wykonania kopii nagrania z posiedzenia rady miejskiej. Nagranie umieszczono na kanale YT. Ponadto stwierdzono naruszenie zasady poufności i integralności ze wzgledu na brak analizy ryzyka umieszczania materiałów na YT.

4. Brak współpracy Burmistrza w czasie kontroli

Prezes UODO, zarzucił Burmistrzowi brak współpracy w toku kontroli, co wpłynęło na wymierzenie i wysokość kary. Urzędnicy wskazali podczas kontroli nieprawidłowości, które nie zostały od razu usunięte oraz nie zostały poniesione jakiekolwiek kroki w celu działania zgodnie z przepisami.

Podsumowując, administratorzy danych osobowych bez względu czy działają prywatnie, czy też realizują zadania o charakterze publicznoprawnym, zobowiązani są do stosowania przepisów o ochronie danych osobowych pod groźbą otrzymania kary.

Warto zapamiętać:

1. Jeżeli zlecasz firmie zewnętrznej/samozatrudnionemu pracę do których niezbędne jest udostępnienie przez Ciebie danych osobowych np. danych pracowników, podpisz umowę o powierzeniu danych osobowych oraz prowadź rejestr powierzenia przetwarzania danych.
2. Czas przetwarzania danych. W zależności od rodzaju danych, sprawdź czy przepisy określają czas przez który możesz przetwarzać dane, a jeżeli nie samodzielnie określaj czas przetwarzania adekwatnie do celu w jakim dane przetwarzasz.
3. Wykonuj kopie zapasowe nagrań audiowizualnych.
4. Współpracuj podczas kontroli i niezwłocznie wprowadzaj rozwiązania, zgodne z wytycznymi i przepisami.