Czy jednostki samorządu terytorialnego dla realizacji wyborów mogą zawierać umowy powierzenia przetwarzania?

Zarówno Krajowe Biuro Wyborcze, jak i jednostki samorządu terytorialnego są administratorami odpowiadającymi za proces przetwarzania danych w związku z organizacją i przeprowadzaniem wyborów. Dlatego zawieranie przez nie umów powierzenia przetwarzania danych jest niewłaściwą praktyką.

Takie stanowisko dr Edyta Bielak-Jomaa, Prezes Urzędu Ochrony Danych Osobowych przekazała Wojciechowi Hermelińskiemu, Przewodniczącemu Państwowej Komisji Wyborczej (PKW) w związku z wątpliwościami, jakie pojawiły się podczas przygotowań do przeprowadzenia tegorocznych wyborów samorządowych.

Status podmiotów zaangażowanych w organizację i przeprowadzenie wyborów

Prezes UODO w piśmie do PKW (którego pełna treść jest dostępna w załączniku poniżej) wskazuje, że zarówno zadania Krajowego Biura Wyborczego (KBW), jak i jednostek samorządu terytorialnego związane z obsługą wyborów zostały określone w przepisach Kodeksu wyborczego. Realizując je, podmioty te przetwarzają dane osobowe, stając się ich odrębnymi administratorami w rozumieniu ogólnego rozporządzenia ochronie danych (RODO). Z kolei w czasie kampanii, kiedy współdziałają w celu realizacji zadań związanych z obsługą i techniczno-materialnymi warunkami prac komisji wyborczych, a zatem wspólnie ustalają cele i sposoby przetwarzania danych osobowych wykorzystywanych w tym celu, przetwarzają dane jako współadministratorzy.

Zobacz: RODO 2018

Dlatego nie mają podstaw, by zawierać umowy powierzenia przetwarzania danych. Działający na tej podstawie podmiot przetwarzający ma zupełnie inny status – przetwarza bowiem dane osobowe w imieniu administratora i w tym zakresie podlega jego kontroli. Jednocześnie zawarcie umowy powierzenia oznacza powierzenie realizacji własnego celu innemu podmiotowi, który będzie odpowiedzialny za przetwarzanie danych wyłącznie w zakresie wskazanym w umowie.

Co istotne, nie można być jednocześnie administratorem i podmiotem przetwarzającym dane w tym samych celach, gdyż status administratora oznacza pełną autonomię w podejmowaniu decyzji dotyczących przetwarzania danych.

Określenie zasad współpracy w porozumieniu lub umowie

Dlatego, jak wskazuje Prezes UODO w piśmie do PKW, wzajemne relacje między KBW a jednostkami samorządu terytorialnego w kwestiach nieuregulowanych przepisami Kodeksu wyborczego powinny być określone z wykorzystaniem innych instrumentów prawnych, np. porozumień lub umów pomiędzy uprawnionymi podmiotami. Mogłyby być w nich doprecyzowane chociażby takie kwestie, jak zasady bezpieczeństwa przetwarzanych danych.

Zobacz: Ustrój i jednostki

Pomocny poradnik UODO

Jednocześnie warto zaznaczyć, że wiele informacji przydatnych podmiotom zaangażowanym w proces wyborczy znajduje się w poradniku wyborczym, przygotowanym przez Urząd Ochrony Danych Osobowych.

Załączone pliki

Pismo Prezesa Urzędu Ochrony Danych Osobowych do Przewodniczącego Państwowej Komisji Wyborczej w sprawie przestrzegania przepisów o ochronie danych osobowych