FUNKCJONOWANIE PORTALU – POSTĘPOWANIE ADMINISTRACYJNE

DECYZJE GIODO

INFORMATOR ADMINISTRATORA DANYCH

14 czerwca 2016

0

580

FUNKCJONOWANIE PORTALU

Funkcjonowanie portalu – postępowanie wobec Uniwersytetu i Ministerstwa Administracji i Cyfryzacji.

     Pewna kobieta postanowiła wszcząć postępowanie wobec Uniwersytetu i Ministerstwa Administracji i Cyfryzacji uważając, iż są nieprawidłowości w procesie przetwarzania danych osobowych w związku z funkcjonowaniem portalu. Generalny Inspektor przeprowadził w poniższej sprawie postępowanie administracyjne, w toku którego ustalił, co następuje.

Decyzja DOLIS/DEC-1026/13

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2013 r. poz. 267), art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana S. K., zam. […], na nieprawidłowości w procesie przetwarzania przez Uniwersytet […] i Ministerstwo Administracji i Cyfryzacji, z siedzibą w Warszawie przy ul. Królewskiej 27, jego danych osobowych w związku z funkcjonowaniem portalu […] (adres: […]),

umarzam postępowanie.

Uzasadnienie:

            Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęło pismo Pana S. K., Zastępcy Wójta Gminy T., (zwanego dalej Skarżącym), dotyczące procesu przetwarzania przez Uniwersytet […] (zwany dalej Uniwersytetem) i Ministerstwo Administracji i Cyfryzacji, z siedzibą w Warszawie przy ul. Królewskiej 27, (zwane dalej Ministerstwem) danych osobowych w związku z funkcjonowaniem portalu […] (adres: […]). Skarżący podniósł, iż chciałby zwrócić uwagę na sposób zbierania danych osobowych przez Uniwersytet w związku z prowadzeniem portalu umożliwiającego przeprowadzenie służby przygotowawczej. Podniósł, że od osób od których otrzymał wniosek o wypełnienie ankiety chciał się dowiedzieć o podstawę prawną uprawnienia do zbierania danych osobowych, ale pomimo dwóch listów e-mail nie otrzymał jednak konkretnych informacji. Skarżący podkreślił również, że zapisując siebie na test próbny oraz poszczególne osoby na egzamin nie był informowany o tym, że łączy się to z koniecznością przekazywania swoich danych osobowych czy pracowników. Skarżący zarzucił, że portal miał być pomocą w zaliczeniu służby przygotowawczej a nie sposobem na zbieranie przeróżnych danych osobowych. Skarżący do swojego pisma dołączył wydruki korespondencji prowadzonej z Uniwersytetem i Ministerstwem oraz wydruk formularza o nazwie „P.”.

      W kolejnym piśmie w sprawie Skarżący – poinformowany uprzednio, że Generalny Inspektor Ochrony Danych Osobowych (zwany dalej Generalnym Inspektorem) nie wszczyna na wniosek postępowań w sprawie przetwarzania danych osobowych, jeżeli wniosek nie dotyczy przetwarzania danych osobowych wnioskodawcy – wskazał, iż pierwsze pismo dotyczyło przede wszystkim jego oraz podniósł, że ponownie wnosi o wszczęcie postępowania w sprawie przetwarzania danych osobowych przez Uniwersytet oraz Ministerstwo w związku z prowadzeniem portalu „[…]”. Jednocześnie Skarżący zarzucił, iż „zaskakujący jest poziom wymaganych danych osobowych przez formularz P[…] np.: opieka nad dziećmi do lat 7, szczegółowy adres zamieszkania, telefon, adres e-mail” oraz, że uzyskał informację iż w związku z uczestnictwem jego jednostki w projekcie, ciąży na jego urzędzie obowiązek dostarczenia danych (także adresowych) do A., ale „[z] obydwu instytucji nie dowiedziałem się z czego wynika ten obowiązek oraz z czego wynika tak szczegółowe zbieranie danych osobowych. Ponadto nie byłem świadomy faktu, że Uniwersytet […] będzie komukolwiek przekazywał te dane”.

     Skarżący uzupełniając braki formalne skargi – w postaci określenia m. in. zakresu danych osobowych, których dopuszczalność zbierania kwestionuje oraz czy przedmiotem niniejszego postępowania ma być również niewypełnienie wobec niego obowiązku informacyjnego poprzez nieudzielenie informacji o obowiązku podania danych i podmiotach, którym jego dane będą udostępniane, a jeżeli tak, to czy zarzuca niewykonanie obowiązku określonego w art. 24 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwanej dalej ustawą, czy też niewykonanie obowiązku określonego w art. 33 ust. 1 ustawy – wskazał, iż kwestionuje zbieranie wszelkich danych, z uwagi na brak podstaw prawnych, i sposób pozyskiwania danych polegający na nękaniu telefonami i e-mailami twierdzącymi o obowiązku podawania danych pomimo braku takiego obowiązku, oraz zarzuca naruszenie art. 24 ust. 1 i art. 33 ust. 1 ustawy. Jednocześnie Skarżący zażądał „usunięcia uchybień i przede wszystkim poinformowania upoważnionych przedstawicieli instytucji rządowych i państwowych o obowiązkach wynikających z ustawy o ochronie danych osobowych”.

     Generalny Inspektor przeprowadził w niniejszej sprawie postępowanie administracyjne, w toku którego ustalił, co następuje.

  1. Minister Rozwoju Regionalnego w dniu […] lipca 2008 r. zawarł z Ministrem Spraw Wewnętrznych i Administracji (którego następcą prawnym w tym zakresie jest Minister Administracji i Cyfryzacji) porozumienie w sprawie powierzenia przetwarzania danych osobowych w ramach realizacji Programu Operacyjnego Kapitał Ludzki nr […], w którym (§ 2) – na podstawie art. 31 ustawy – Minister Rozwoju Regionalnego powierzył Ministrowi Spraw Wewnętrznych i Administracji przetwarzanie danych osobowych na warunkach opisanych w porozumieniu.
  2. W dniu […] września 2011 r. pomiędzy Ministerstwem a m.in. Uniwersytetem została zawarta umowa partnerska na rzecz realizacji projektu „[…]” w której (§9 ust. 1) Ministerstwo powierzyło Uniwersytetowi przetwarzanie danych osobowych w imieniu i na rzecz Ministerstwa Rozwoju Regionalnego. W § 4 ust. 1 pkt 2 lit. b tej umowy wskazano, że Uniwersytet jest odpowiedzialny za realizację przeprowadzenia zadania „[…]” tj. hosting oraz wsparcie techniczne platformy typu e-learning. Zgodnie z wnioskiem o dofinansowanie projektu „[…]” (str. 8) do przeprowadzenia ww. szkoleń miała zostać wykorzystana platforma e-learningowa, która powstała w ramach projektu systemowego „[…]”.
  3. W dniu […] grudnia 2011 r. pomiędzy Ministrem Rozwoju Regionalnego
    a Ministrem Administracji i Cyfryzacji została zawarta umowa o dofinansowanie projektu „[…]” w ramach Programu Operacyjnego Kapitał Ludzki współfinansowanego ze środków Europejskiego Funduszu Społecznego. W § 17 ust. 1 powyższej umowy, na podstawie porozumienia w sprawie powierzenia przetwarzania danych osobowych nr […] oraz w związku z art. 31 ustawy Minister Rozwoju Regionalnego (Instytucja Zarządzająca) powierzył Ministrowi Administracji i Cyfryzacji przetwarzanie danych osobowych w imieniu i na rzecz Ministra Rozwoju Regionalnego na warunkach opisanych w tym paragrafie. § 17 ust. 2 powyższej umowy przewiduje, iż przetwarzanie danych osobowych jest dopuszczalne jeżeli osoba, której dane dotyczą, wyrazi zgodę na ich przetwarzanie. Niewyrażenie zgody na przetwarzanie danych osobowych jest równoznaczne z brakiem możliwości wsparcia w ramach Projektu. § 17 ust. 3 określa cele w których dane osobowe mogą być przetwarzane przez Instytucję Pośredniczącą II stopnia (Ministra Administracji i Cyfryzacji) a odnośnie określenia zakresu danych odsyła do załącznika nr 5 do umowy. § 17 ust. 5 umowy stanowi, że Instytucja Zarządzająca, jako administrator danych osobowych, przekazuje Instytucji Pośredniczącej II stopnia system informatyczny – A., który Instytucja Pośrednicząca II stopnia zobowiązuje się wykorzystywać do przetwarzania powierzonych danych osobowych.
  4. A. jest systemem przeznaczonym do monitorowania efektów realizacji projektów dofinansowanych z Europejskiego Funduszu Społecznego poprzez zbieranie danych od osób oraz instytucji bezpośrednio objętych wsparciem w ramach Programu Operacyjnego Kapitał Ludzki, stworzonym w celu ułatwienia realizacji projektów, wsparcia systemu ewaluacji, monitoringu, kontroli i sprawozdawczości. Zgłoszony przez Ministra Rozwoju Regionalnego, jako administratora danych, zbiór o powyższej nazwie został zarejestrowany przez Generalnego Inspektora (Nr księgi […]). Zakres danych przetwarzanych
    w zarejestrowanym zbiorze obejmuje m.in. informacje dotyczące opieki nad dziećmi do lat 7 lub nad osobą zależną oraz informacje o adresie zamieszkania lub pobytu, numerze telefonu i adresie poczty elektronicznej.
  5. Na początku kwietnia 2012 r. Skarżący za pośrednictwem poczty elektronicznej otrzymał od Uniwersytetu prośbę o uzupełnienie formularza „P[…]”. Korespondencja ta zawierała również przypomnienie, że „obowiązkiem każdego pracownika zapisanego przez system […] na szkolenie ze Służby przygotowawczej jest uzupełnienie formularza P[…]” oraz przytoczenie treści korespondencji, którą otrzymuje każdy z pracowników zapisanych na szkolenie (informację, że wypełnienie formularza jest warunkiem prawidłowego uczestnictwa w projekcie „[…]” współfinansowanego z Europejskiego Funduszu Społecznego w ramach Programu Operacyjnego Kapitał Ludzki, Priorytet V Dobre Rządzenie, Poddziałanie 5.2.2 Systemowe Wsparcie Funkcjonowania Administracji Samorządowej wraz z odnośnikiem do formularza dla pracowników).
  6. Częścią formularza o nazwie „P[…]”, którego dotyczyła ww. korespondencja, jest „Oświadczenie uczestnika projektu o wyrażeniu zgody na przetwarzanie danych osobowych” (karty 8-9 akt sprawy) o treści „Oświadczam, iż przyjmuje do wiadomości, że: W związku z przystąpieniem do Projektu „[…]” realizowanego w ramach Programu Operacyjnego Kapitał Ludzki wyrażam zgodę na przetwarzanie moich danych osobowych. 1. administratorem tak zebranych danych osobowych jest Instytucja Zarządzająca dla Programu Operacyjnego Kapitał Ludzki Ministerstwo Rozwoju Regionalnego, ul. Wspólna 2/4, 00-926 Warszawa; 2. moje dane osobowe będą przetwarzane wyłącznie w celu udzielenia wsparcia i obsługi Projektu; 3. moje dane osobowe mogą zostać udostępnione innym podmiotom w celu ewaluacji, jak również w celu realizacji zadań związanych z monitoringiem i sprawozdawczością w ramach Programu Operacyjnego Kapitał Ludzki; 4. podanie danych jest dobrowolne, aczkolwiek odmowa ich podania jest równoznaczna z brakiem możliwości udzielenia wsparcia w ramach Projektu; 5. mam prawo dostępu do treści swoich danych i ich poprawiania”.
  7. Skarżący w dniu […] kwietnia 2012 r. zwrócił się do Uniwersytetu pocztą elektroniczną
    o informację „z czego wynika obowiązek wypełnienia formularza i z czego wynika Państwa uprawnienie do zbierania danych osobowych”. W odpowiedzi uzyskał informacje, że:
  • z dniem […] stycznia 2012 r. Wydział […] Uniwersytetu przejął realizację projektu „[…]”, którego częścią jest portal […],
  • formularz P. wypełnia każdy organizator szkolenia oraz każdy uczestnik szkoleń,
  • o konieczności wypełnienia formularza osoby są informowane podczas zakładania konta w systemie (przytoczona została również treść powiadomienia).
  1. W korespondencji z dnia […] kwietnia 2012 r. Skarżący zwrócił się do Uniwersytetu
    z zapytaniem „[n]a jakiej podstawie zbierają Państwo dane osobowe i na jakiej podstawie zmuszają Państwo uczestników szkolenia do ujawniania swoich danych osobowych”.
    W dniu  […] kwietnia 2012 r. Ministerstwo, nawiązując do jego korespondencji prowadzonej z Uniwersytetem  poinformowało go, iż „(…) w związku z uczestnictwem Państwa jednostki samorządu terytorialnego w projekcie systemowym: »[…]«, ciąży na Państwa urzędzie obowiązek dostarczenia danych (także adresowych) do A.”. Ministerstwo poinformowało również Skarżącego, że podsystem ten jest utworzony w oparciu o art. 58 lit. d oraz art. 60 lit. c Rozporządzenia Rady (WE) nr 1083/2006 oraz że dane przekazywane są do Ministerstwa Rozwoju Regionalnego i Komisji Europejskiej.
  2. Skarżący nie udostępnił Ministerstwu i Uniwersytetowi swoich danych osobowych przy wykorzystaniu formularza „P[…]”.

            Po zapoznaniu się z całością materiału dowodowego zgromadzonego w tej sprawie Generalny Inspektor zważył, co następuje.

            Zasadnicze znaczenie dla rozstrzygnięcia sprawy ma fakt, że Skarżący nie udostępnił Ministerstwu i Uniwersytetowi swoich danych osobowych przy wykorzystaniu formularza „P[…]”, a zatem podmioty te nie przetwarzają jego danych osobowych w zakresie objętym skargą. Z uwagi na powyższą okoliczność postępowanie jest bezprzedmiotowe i należy je umorzyć. Nie ma bowiem przedmiotu postępowania, czyli dotyczących Skarżącego informacji, których przetwarzanie miałoby być niedopuszczalne i w związku z przetwarzaniem których Ministerstwo i Uniwersytet miałyby dopuścić się naruszenia obowiązków określonych w art. 24 ust. 1 i art. 33 ust. 1 ustawy, nieprzekazując informacji o obowiązku podania danych i podmiotach, którym jego dane będą udostępniane. Stosownie zaś do art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2013 r. poz. 267), zwanej dalej Kpa, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części. W doktrynie wskazuje się, że: „[b]ezprzedmiotowość postępowania administracyjnego, o której stanowi się w art. 105 § 1, oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym.” (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C.H. Beck, Warszawa 2004, s. 478). Ustalenie przez organ publiczny istnienia przesłanki, o której mowa w art. 105 § 1 Kpa zobowiązuje go, jak podkreśla się w doktrynie i orzecznictwie, do umorzenia postępowania, nie ma bowiem wówczas podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.

            Na marginesie zaznaczyć należy, że obowiązki określone w art. 24 ust. 1 i art. 33 ust. 1 ustawy ciążą na administratorach danych poprzez których – stosownie do treści art. 7 pkt 4 ustawy – rozumie się organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. Art. 24 ust. 1 ustawy stanowi bowiem, że w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: (pkt 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna – o miejscu swojego zamieszkania oraz imieniu i nazwisku, (pkt 2) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych, (pkt 3) prawie dostępu do treści swoich danych oraz ich poprawiania, (pkt 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Zgodnie zaś z art. 33 ust. 1 ustawy, na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a. Ze zgromadzonego w sprawie materiału dowodowego wynika, iż Ministerstwo i Uniwersytet nie są administratorami danych zbieranych w związku z realizowanym w ramach Programu Operacyjnego Kapitał Ludzki, projektem, którego dotyczyła korespondencja prowadzona pomiędzy nimi a Skarżącym. Są one jedynie podmiotami, które przetwarzają dane osobowe w oparciu o przepis art. 31 ust. 1 ustawy, stanowiący, że administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych, zaś administratorem danych jest Minister Rozwoju Regionalnego. Wskazać również należy, że w kwestii istnienia obowiązku informacyjnego określonego w art. 33 ustawy w sytuacji, gdy dane osobowe nie są przetwarzane wypowiadał się Wojewódzki Sąd Administracyjny w Warszawie, wskazując w wyroku z dnia 22 czerwca 2012 r. (sygn. akt II SA/Wa 307/12), iż „[z]atem jeżeli jedynymi danymi osobowymi zawartymi w zbiorze danych osobowych (…), był adres elektroniczny (…), to po jego usunięciu przez administratora (…) przestał obowiązywać – zdaniem Sądu – obowiązek informacyjny, o którym mowa w art. 33 ustawy. Z tego mianowicie powodu, że obowiązek ów dotyczy w myśl wskazanego już wyżej art. 32 ust. 1 danych »zawartych w zbiorach danych«, zaś w stosunku do wymienionego zbiór ten już nie istniał”. Niezależnie od powyższego, mając na uwadze, że zbiór danych „P.”, został zgłoszony do rejestracji przez Ministra Rozwoju Regionalnego, jako administratora danych, i został zarejestrowany przez Generalnego Inspektora, podkreślić należy, że Generalny Inspektor rozpatrując zgłoszenia zbiorów do rejestracji bada dopuszczalność przetwarzania danych objętych zgłoszeniem a w przypadku niedopuszczalności przetwarzania wydaje decyzję o odmowie rejestracji zbioru danych, zgodnie z art. 44 ust. 1 pkt 2 ustawy, przewidującym, że Generalny Inspektor wydaje decyzję o odmowie rejestracji zbioru danych, jeżeli przetwarzanie danych naruszałoby zasady określone w art. 23-28 (do 7 marca 2011 r. – w art. 23-30).

        Podsumowując, z uwagi na nieprzetwarzanie przez Ministerstwo i Uniwersytet objętych skargą danych osobowych Skarżącego,  postępowanie jest bezprzedmiotowe.

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

      Stronom, na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych w związku z art. 127 § 3 i art. 129 § 2 Kodeksu postępowania administracyjnego, przysługuje, w terminie 14 dni od dnia doręczenia niniejszej decyzji, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa).    

     Treść powyższej decyzji pochodzi z oficjalnej strony Generalnego Inspektora Ochrony Danych Osobowych.

Program dla ABI

Tagi:

Dodaj komentarz

Twój adres email nie zostanie opublikowany. Pola, których wypełnienie jest wymagane, są oznaczone symbolem *

Copyright © 2016 Kryptos - All Rights Reserved