Zgłoszenie naruszenia ochrony danych – czy jest informacją publiczną
Zgłoszenie naruszenia ochrony danych bardzo często zawiera dane osobowe np. pracowników administratora. Jak zatem postąpić, gdy administrator będący podmiotem publicznym otrzymuje żądanie udostępnienia zgłoszenia jako informacji publicznej? Sprawdź, czy taką informację należy udostępnić i w jakim zakresie.
Sprawdź:
-
jaki jest zakres i istota informacji publicznej,
-
czy w ramach informacji publicznej można uzyskać dostęp do dokumentu urzędowego,
-
czy konieczna jest anonimizacja dokumentu urzędowego.
Działalność podmiotu publicznego objęta informacją publiczną
Art. 61 Konstytucji RP oraz art. 1 ust. 1 ustawy z dnia 6 września 2001 roku o dostępie do informacji publicznej kreują obszerną definicję informacji publicznej. Jest to „każda informacja o sprawach publicznych”.Informacja publiczna podlega udostępnieniu i ponownemu wykorzystywaniu przez podmioty wnioskujące o dostęp do takiej informacji. Konstytucja stwierdza, że prawo do pozyskiwania takich informacji obejmuje także informacje o działalności organów władzy publicznej oraz osób pełniących funkcje publiczne.
Dostęp do dokumentu urzędowego w ramach informacji publicznej
Wytwarzającym informację publiczną są przede wszystkim organy władzy publicznej (w tym osoby pełniące funkcje publiczne) ale także wszelkie inne podmioty, które choćby w jakimś niewielkim wycinku swojej działalności wykonują zadania publiczne lub gospodarują mieniem publicznym. Wytworzona przez nie informacja publiczna dotyczy faktów czy danych o charakterze obiektywnym. Z informacją publiczną mamy do czynienia tylko gdy dana informacja dotyczy faktów z zakresu spraw (zadań) publicznych.
Zgodnie z art. 6 ust. 1 pkt 4 lit. a ustawy o dostępie do informacji publicznej udostępnieniu podlega informacja publiczna o danych publicznych, w tym treść i postać dokumentów urzędowych. Przepis ten może być przytaczany jako podstawa prawna żądania informacji o treści zgłoszenia do Prezesa UODO.
W świetle przepisów o dostępie do informacji publicznej nie ma więc przeszkód w udostępnieniu żądanych dokumentów.
Jaka podstawa przetwarzania danych
Czy ustawa o dostępie do informacji publicznej stoi w sprzeczności z RODO? Nie. Przetwarzanie danych osobowych, w tym danych widniejących w zgłoszeniu, jest dopuszczalne, jeśli spełniona jest jedna z przesłanek z art. 6 ust. 1 RODO.
Dane osobowe mogą być przetwarzane m. in. gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO).
Z żadnych przepisów nie wynika generalny zakaz udostępniania informacji publicznych zawierających dane osobowe. Także w ustawie o dostępie do informacji publicznej nie zawarto regulacji, które nie pozwalałyby na uzyskiwanie dostępu do danych osobowych w ramach prawa do informacji publicznej. Zgodnie ze stanowiskiem reprezentowanym w orzecznictwie, ustawa o dostępie do informacji publicznej i ustawa o ochronie danych osobowych (obecnie przede wszystkim RODO) są równorzędnymi aktami prawnymi.
Oznacza to, że w każdej sprawie konieczne jest przeanalizowanie możliwości realizacji prawa do informacji publicznej w sytuacji, gdy w tej informacji zawarte są jednocześnie dane osobowe.
Czy zgłoszenie podlega anonimizacji
Wobec tego, gdy informacja publiczna zawiera dane osobowe, podmiot zobowiązany do jej udostępnienia musi zbadać możliwość udzielenia takiej informacji pod kątem istniejących ograniczeń w udostępnianiu informacji publicznych, a wynikających z art. 5 ust. 1-2a ustawy o dostępie do informacji publicznej. Musi zatem przeanalizować, czy dane osobowe zawarte w informacji publicznej mieszczą się w sferze prywatności osoby fizycznej, podlegają ochronie jako informacje niejawne lub jako tajemnica ustawowa bądź tajemnica przedsiębiorstwa.
W razie uznania, że w danym konkretnym przypadku ma to miejsce, urząd może w drodze decyzji odmówić udostępnienia informacji publicznej bądź też jej udzielić jednakże po uprzednim zanonimizowaniu danych podlegających ochronie z uwagi na ograniczenia z art. 5 ust. 1-2a ustawy.
Anonimizacja zazwyczaj sprowadzać się będzie do usunięcia personaliów osoby fizycznej. Jednakże w konkretnych okolicznościach może okazać się konieczne wyeliminowanie innych informacji o osobie fizycznej, jeśli pozwalają one na jej identyfikację.
- Kary RODO za naruszenia ochrony danych - przegląd orzeczeń zagranicznych organów nadzorczych
- Jak zrealizować obowiązek informacyjny RODO mikroprzedsiębiorców
- RODO na YouTube - ochrona danych osobowych jako obowiązek youtubera
- Biuletyn Informacji Publicznej - administrator musi zawrzeć umowę powierzenia przetwarzania danych
- Kody QR a bezpieczeństwo danych osobowych
- Skarga do WSA na decyzję UODO – jak ją złożyć
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
