W marcu na naszym blogu opublikowany został artykuł rozpoczynający serię poświęconą podstawom przetwarzania danych osobowych (art. 6 RODO). Zawierał on ogólne informacje o przesłankach legalizujących przetwarzanie danych osobowych oraz scharakteryzował pierwszą z nich – tj. zgodę osoby, której dane dotyczą.
W tym miesiącu kontynuujemy cykl, przybliżając kolejną z podstaw przetwarzania danych osobowych, uregulowaną przez prawodawcę unijnego w art. 6 ust. 1 lit. e RODO, związaną z wykonaniem zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
Po lekturze tej publikacji czytelnik będzie wiedział:
Interes publiczny lub sprawowanie władzy publicznej powierzonej administratorowi jako podstawa przetwarzania danych osobowych
Zgodnie z art. 6 ust. 1 lit. e RODO przetwarzanie danych jest zgodne z prawem, kiedy „jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi”.
Przesłanka ta ma istotne znaczenie w sektorze publicznym. Niejako uzupełnia podstawę przetwarzania uregulowaną w art. 6 ust. 1 lit. c, tj. wypełnienie obowiązku prawnego ciążącego na administratorze.
Jak zauważyła dr hab. M. Sakowska-Baryła w kwestii przesłanki z art. 6 ust. 1 lit. e RODO: „Regulacja ta daje potencjalnie szerokie możliwości wykazania legalności przetwarzania, nieskierowane bezpośrednio na ustanowienie kompetencji organu lub podmiotu powołującego się na ich istnienie jako uzasadnienie występowania interesu publicznego. Jeśli przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, jak i wówczas, gdy jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, konieczne staje się, by podstawa prawna takiego przetwarzania była określona w prawie Unii lub w prawie państwa członkowskiego, któremu podlega administrator. Przesłanka wymaga zatem określenia w przepisach niezbędności przetwarzania do wykonania zadania realizowanego w interesie publicznym bądź niezbędności przetwarzania w ramach sprawowania władzy publicznej powierzonej administratorowi” (M. Sakowska – Baryła [w:] Ogólne rozporządzenie o ochronie danych osobowych. Komentarz).
W polskim porządku prawnym można znaleźć wiele przepisów wskazujące na różne zadania publiczne, do których realizacji konieczne jest przetwarzanie danych. Jednak często (o ile nie zazwyczaj) przepisy te nie zawierają wzmianki nt. przetwarzania danych do realizacji konkretnego zadania. W tego rodzaju przypadkach zastosowanie znajduje omawiana podstawa z art. 6 ust. 1 lit. e RODO.
Zgodnie z art. 6 ust. 2 RODO „Państwa członkowskie mogą zachować lub wprowadzić bardziej szczegółowe przepisy, aby dostosować stosowanie przepisów niniejszego rozporządzenia w odniesieniu do przetwarzania służącego wypełnieniu warunków określonych w ust. 1 lit. c) i e); w tym celu mogą dokładniej określić szczegółowe wymogi przetwarzania i inne środki w celu zapewnienia zgodności przetwarzania z prawem i jego rzetelności, także w innych szczególnych sytuacjach związanych z przetwarzaniem przewidzianych w rozdziale IX ”. W rozdziale tym określone zostały przepisy dotyczące szczególnych sytuacji związanych z przetwarzaniem. Odnoszą się one m.in. do przetwarzania danych w kontekście wolności wypowiedzi, zatrudnienia, dostępu do dokumentów urzędowych oraz przetwarzania krajowego numeru identyfikacyjnego (w Polsce jest to nr PESEL).
Treść art. 6 ust. 2 RODO daje ustawodawcom krajowym możliwość doprecyzowania w przepisach szczególnych wymogów określonych w art. 6 ust. 1 lit. c) i e) RODO. Zapisy w tym zakresie zawiera przede wszystkim ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania RODO (potocznie zwana ustawą wdrażającą RODO – którą znowelizowano łącznie 162 ustawy, m.in. Kodeks pracy), ale również i inne przepisy szczególne względem RODO, które nie były nowelizowane ustawą wdrażającą.
Przykładowo art. 46 ustawy z dnia 24 września 2010 r. o ewidencji ludności (t.j. Dz. U. z 2024 r. poz. 736), w którym ustawodawca doprecyzował jakim podmiotom (w związku z realizacją ich ustawowych zadań) mogą być udostępnione dane z rejestru PESEL. Przepis ten istniał w ustawie jeszcze przed obowiązywaniem RODO, jednak niektóre inne jej przepisy zostały znowelizowane ustawą wdrażającą RODO (m.in. w art. 11 dodano ust. 2b „Usunięcie niezgodności może polegać w szczególności na sprostowaniu danych nieprawidłowych lub uzupełnieniu danych”, wprost nawiązujący do zasady prawidłowości).
Zadania realizowane w interesie publicznym
Według dr hab. M. Sakowskiej – Baryła „zadania realizowane w interesie publicznym” to takie, które prowadzone są „(…) przy użyciu form niewładczych, np. świadczenie pomocy socjalnej, pomocy ofiarom klęsk żywiołowych, walka z terroryzmem, z działającymi niezgodnie z prawem sektami, przeciwdziałanie praniu brudnych pieniędzy itp.” (M. Sakowska – Baryła [w:] Ogólne rozporządzenie o ochronie danych osobowych. Komentarz).
Mówiąc prościej zadanie realizowane w interesie publicznym to takie, które jest wykonywane w celu szeroko pojętego dobra publicznego. Choć działania takie zazwyczaj kojarzone są z podmiotami publicznymi to nic nie stoi na przeszkodzie, aby były one prowadzone również przez podmioty niepubliczne. Przykładem mogą być działania podejmowane w ramach niesienia pomocy konkretnym ofiarom powodzi, jak miało to miejsce po wrześniowym kataklizmie.
Zadania realizowane w ramach sprawowania władzy publicznej powierzonej administratorowi
Zgodnie z art. 51 Konstytucji RP „Władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym”. Natomiast przepisy rangi ustawy mogą wprowadzać wyjątki od tej zasady, przyznając organom władzy publicznej uprawnienia do gromadzenia informacji o obywatelach.
Jak zauważył dr P. Litwiński: „Podstawy przetwarzania danych osobowych zawartej w komentowanym przepisie [art. 6 ust. 1 lit. e RODO] nie można więc rozumieć jako generalne zezwolenie na przetwarzanie danych osobowych przez organy władzy publicznej, w oderwaniu od norm kompetencyjnych regulujących funkcjonowanie tychże organów. Przeciwnie, w dalszym ciągu aktualna pozostaje zasada działania władzy publicznej – także w sferze informacyjnej – na podstawie i w granicach prawa. Potwierdza to motyw 45 preambuły do RODO, zgodnie z którym jeżeli przetwarzanie odbywa się w celu wypełnienia obowiązku prawnego, któremu podlega administrator, lub jeżeli jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, podstawę przetwarzania powinno stanowić prawo Unii lub prawo państwa członkowskiego, które powinno także określać cel przetwarzania danych” (P. Litwiński [w:] Ogólne rozporządzenie o ochronie danych osobowych. Ustawa o ochronie danych osobowych. Wybrane przepisy sektorowe. Komentarz, 2021).
Zadania realizowane w ramach sprawowania władzy publicznej są określone m.in. w:
- art. 7 ustawy z dnia 8 marca 1990 r. o samorządzie gminnym (t.j. Dz. U. z 2024 r. poz. 1465 z późn. zm.);
- art. 4 ustawy z dnia 5 czerwca 1998 r. o samorządzie powiatowym (t.j. Dz. U. z 2024 r. poz. 107);
- art. 14 ustawy z dnia 5 czerwca 1998 r. o samorządzie województwa. (t.j. Dz. U. z 2024 r. poz. 566).
Podsumowanie
Należy pamiętać, że przetwarzanie danych na podstawie art. 6 ust. 1 lit. e RODO może odbywać się wyłącznie w niezbędnym zakresie. Wynika on z celu, w jakim dane są przetwarzane przez administratora. Okres przetwarzania danych, o ile nie został określony w konkretnym przepisie, powinien być ograniczony do czasu realizacji danego celu.
Niniejszy artykuł kończy serię poświęconą podstawom przetwarzania danych osobowych. Ostatnia z nich (uregulowana w art. 6 ust. 1 lit. f RODO) została przybliżona w naszym wcześniejszym artykule dotyczącym prawnie uzasadnionego interesu administratora.