Ochrona danych osobowych w administracji publicznej Dr Małgorzata Ganczar Ochrona danych osobowych w administracji publicznej

literatura P. Litwiński, Ochrona danych osobowych w ogólnym postępowaniu administracyjnymj, Warszawa 2009; J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Warszawa 2011;

Geneza ochrony danych osobowych Regulacje prawne dotyczące tworzenia i wykorzystywania zbiorów danych osobowych stały się w latach 70. przedmiotem zainteresowania prawników, a także ustawodawców. Pojawiać się zaczęły ustawy wycinkowe, fragmentaryczne (jak np. w USA Fair Credit Reporting Act - dotyczący posługiwania się informacjami udzielanymi w celu uzyskania kredytu), a także uregulowania kompleksowe (jak pierwsza ustawa o ochronie danych osobowych ogłoszona w Hesji w 1970 r., wyprzedzająca o 7 lat niemiecką ustawę federalną). Jeszcze w tej samej dekadzie wydano w Europie dalsze akty prawne zajmujące się ochroną danych osobowych w Szwecji, Danii, Norwegii, Luksemburgu i we Francji, zaś w latach 80. i z początkiem lat 90. w Austrii, Islandii, Irlandii, Finlandii, Wielkiej Brytanii i na Węgrzech.

Geneza ochrony danych osobowych Intensywny rozwój prawa człowieka do ochrony jego danych osobowych został zapoczątkowany u progu ery informatycznej. Wraz z wdrożeniem cyfrowych technik przetwarzania danych, dane osobowe stały się bowiem łatwiejsze do zbierania, przechowywania i przetwarzania. Stąd pozostawienie skomputeryzowanych baz danych zawierających dane o osobie, poza jakąkolwiek regulacją prawną, może sprzyjać niedozwolonemu ingerowaniu w szeroko rozumianą wolność osobistą jednostki i jej prywatność. Z tego względu, ochrona danych osobowych wyłącznie jako elementu prawa do prywatności i na podstawie przepisów prawa prywatnego stała się niewystarczająca.

Geneza ochrony danych osobowych Prócz nieporównywalnie większych zagrożeń związanych ze skalą i możliwościami automatyzacji czynności dokonywanych na danych osobowych, za objęciem danych osobowych ochroną prawa publicznego przemawiała dodatkowo specyfika ochrony danych osobowych na podstawie przepisów prawa prywatnego. Cywilnoprawna ochrona danych osobowych w ramach ochrony prawa do prywatności możliwa jest bowiem dopiero po stwierdzeniu, że istnieje konkretne zagrożenie dla prywatności. Ochrona sądowa okazywała się więc często spóźniona w stosunku do naruszeń, a więc nie mogłaby tym naruszeniom przeciwdziałać.

Geneza ochrony danych osobowych Celem publicznoprawnej ochrony danych osobowych jest zagwarantowanie podejmowania decyzji w sferze informacji przez jednostkę, której te informacje dotyczą, a zarazem zapewnienie realizacji prawnie chronionego prawa jednostki do prywatności i intymności. Ochrona danych osobowych stawia więc sobie za cel wzmocnienie autonomii jednostki w realizacji przysługujących jej praw, w szczególności prawa do prywatności, za pomocą procedur o charakterze organizacyjnym i za pomocą środków technicznych. Jednocześnie uwzględnić należy niewątpliwy konflikt chronionych przez prawo wartości, do jakiego dochodzi na styku prawa jednostki do ochrony informacji o niej samej oraz przysługującej każdemu wolności gromadzenia i przetwarzania informacji.

Podstawy prawne Konwencja Rady Europy Nr 108 z dnia 28 stycznia 1981 r. o Ochronie Osób w Związku z Automatycznym Przetwarzaniem Danych Osobowych, Rekomendacja R(99)5 z dnia 23 lutego 1999 r. dotycząca ochrony prywatności w Internecie oraz Aneks do rekomendacji, Rekomendacja R(91)10 z dnia 9 września 1991 r. dotyczącej ochrony danych osobowych przekazywanych osobom trzecim przez osoby publiczne, Rezolucja (73)22 z dnia 26 września 1973 r. o ochronie życia prywatnego osób fizycznych w kontekście elektronicznych banków danych w sektorze prywatnym,

Podstawy prawne Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnym przepływie tych danych, Konstytucja RP, Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.

Konwencja 108 Zgodnie z art. 1 Konwencji, jej celem jest zapewnienie na obszarze państw członkowskich Rady Europy każdemu, niezależnie od jego obywatelstwa i miejsca zamieszkania, ochrony jego praw i wolności, a w szczególności prawa do poszanowania sfery osobistej, w związku z automatycznym przetwarzaniem danych osobowych. Konwencja, dążąc do wzmocnienia prawnej ochrony jednostek wobec automatycznego przetwarzania ich danych osobowych ze względu na stale rosnące wykorzystanie informatyki do celów administracji i zarządzania, dostrzega również możliwość podejmowania części decyzji dotyczących jednostek na podstawie informacji zawartych w różnego rodzaju kartotekach, co wpływa na mniejszą rolę bezpośrednich kontaktów z zainteresowanymi osobami w procesie decyzyjnym. Konsekwencję takiego ujęcia celów Konwencji stanowi określenie jej zakresu zastosowania – art. 3 ust. 1 Konwencji nakłada na państwa- strony obowiązek jej stosowania do kartotek i automatycznego przetwarzania danych osobowych.

Konwencja 108 Z punktu widzenia ochrony praw osób, których dane dotyczą, najistotniejsze znaczenie ma wyrażona w art. 4 Konwencji zasada minimum ochrony danych osobowych – każdy z krajów będących stroną Konwencji zobowiązuje się, aby przed wejściem w życie Konwencji na swoim obszarze wprowadzić do prawa wewnętrznego przepisy konieczne dla realizacji zasad ochrony danych osobowych, o których mowa w rozdziale II Konwencji. Są to: a) zasada adekwatności danych oraz zasada związania celem zbierania danych, b) obowiązek odpowiedniego zabezpieczenia danych, c) obowiązek respektowania uprawnień informacyjnych osób, których dane dotyczą.

Zasada minimum ochrony Każdy z krajów członkowskich zobowiązuje się, by przed wejściem w życie konwencji 108 na jego obszarze wprowadzić do swojego prawa wewnętrznego przepisy konieczne do realizowania zasad ochrony danych statuowanych w jej rozdziale II. Powinien on przy tym przewidzieć: a) sankcje i środki prawne na wypadek naruszenia tego rodzaju przepisów; b) środki właściwe dla zabezpieczenia przed przypadkowym lub bezprawnym zniszczeniem, utratą, dostępem, zmianą lub ujawnieniem danych osobowych zgromadzonych w zautomatyzowanych zbiorach.

Zasada jakości i adekwatności danych oraz związania celem zbierania danych Przetwarzane automatycznie dane osobowe muszą być: a) pozyskiwane oraz przetwarzane rzetelnie i zgodnie z prawem; b) gromadzone dla określonych i usprawiedliwionych celów i nie mogą być wykorzystywane w sposób niezgodny z tymi celami; c) odpowiednie, rzeczowe, niewykraczające poza potrzeby wynikające z celów, dla których są gromadzone; d) dokładne i w razie potrzeby uaktualniane; e) przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez okres nie dłuższy niż jest to wymagane ze względu na cel, dla którego dane te zgromadzono. Dane osobowe, które ujawniać mogą pochodzenie rasowe, poglądy polityczne lub religijne albo innego rodzaju przekonania, jak również dane osobowe dotyczące zdrowia, życia seksualnego lub orzeczeń karnych, mogą być automatycznie przetwarzane tylko wówczas, gdy przepisy wewnętrzne zapewniają właściwą ochronę.

Ochrona dodatkowa i prawo dostępu do danych Każdej osobie musi zostać zapewniona możliwość: a) stwierdzenia istnienia zautomatyzowanego zbioru danych osobowych, jego głównego celu i oznaczenia, miejsca pobytu lub siedziby podmiotu odpowiedzialnego za zbiór (chodzi tu o osobę fizyczną lub prawną, władzę, organizację lub inną jednostkę, która według prawa wewnętrznego jest kompetentna do decydowania, jakiemu celowi ma służyć zbiór, jakie rodzaje danych osobowych mają być gromadzone i jakie procesy przetwarzania zostaną zastosowane); b) otrzymania we właściwym czasie, bez nadmiernej zwłoki i nadmiernych kosztów potwierdzenia, czy dane na jego temat są zgromadzone w zautomatyzowanym zbiorze danych osobowych, jak również uzyskanie tego, że dane te zostaną mu w zrozumiałej formie zakomunikowane; c) poprawienia lub usunięcia w określonych przypadkach danych, jeśli są one przetwarzane wbrew przepisom prawa wewnętrznego realizującym zasady wyrażone w art. 5 i 6 konwencji; d) dysponowania odpowiednimi środkami prawnymi na wypadek, gdy nie zostaną spełnione żądania, o których mowa w pkt. b i c.

Dozwolone ograniczenie ochrony odstąpienie od zasad jest dopuszczalne tylko wtedy, gdy: a) jest przewidziane w prawie danego kraju członkowskiego i b) stanowi środek konieczny w demokratycznym społeczeństwie do: - ochrony państwa, interesów finansowych państwa lub dla utrzymania porządku i bezpieczeństwa publicznego oraz zwalczania przestępczości, - ochrony osoby, której dane dotyczą, albo praw lub wolności innych osób. Dozwolone jest także ograniczenie ustawą dotyczącą zautomatyzowanych zbiorów danych osobowych, jeśli chodzi o zbiory służące celom statystycznym lub badaniom naukowym, o ile nie istnieje oczywiste niebezpieczeństwo naruszenia sfery osobistej osób, których gromadzone dane dotyczą.

Unia Europejska – Karta Praw Podstawowych Artykuł 8 KPP stanowi, iż: 1) każdy ma prawo do ochrony danych osobowych, które go dotyczą; 2) dane te muszą być przetwarzane rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą; każdy ma prawo dostępu do zebranych danych, które go dotyczą, i prawo do dokonania ich sprostowania; 3) przestrzeganie tych zasad podlega kontroli niezależnego organu. Zaliczenie ochrony danych osobowych do podstawowych praw człowieka i ujęcie w Karcie praw podstawowych stanowi dowód na to, iż problematyka ta z biegiem lat zyskuje coraz większe znaczenie w Unii Europejskiej.

Unia Europejska – Traktaty (TFUE i TUE) Art. 16 TFUE (dawny art. 286 TWE) potwierdzono prawo każdej osoby do ochrony danych osobowych jej dotyczących oraz zobowiązano Parlament Europejski i Radę do określenia zasad dotyczących ochrony osób fizycznych w zakresie przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii oraz przez państwa członkowskie w wykonywaniu działań wchodzących w zakres zastosowania prawa Unii, a także zasad dotyczących swobodnego przepływu takich danych. Uznano także, iż przestrzeganie zasad powinno podlegać kontroli niezależnych organów. Podobną normę odnaleźć można w art. 39 TUE, zgodnie z którym Rada zobowiązana została do przyjęcia decyzji określającej zasady dotyczące ochrony osób fizycznych w zakresie przetwarzania danych osobowych przez państwa członkowskie w wykonywaniu działań wchodzących w zakres zastosowania przepisów Tytułu V rozdziału 2 TUE (wspólna polityka zagraniczna i bezpieczeństwa) oraz zasady dotyczące swobodnego przepływu takich danych. Także w tym przypadku uznano, że przestrzeganie tych zasad powinno podlegać kontroli niezależnych organów37 .

Unia Europejska - Dyrektywa Zasadniczy zrąb systemu ochrony danych osobowych określonego w przepisach dyrektywy wynika z rozdziału II sekcji I, w którym określone zostały podstawowe zasady przetwarzania danych osobowych. Za najważniejszą z tych zasad uznaje się wymóg rzetelnego i zgodnego z prawem przetwarzania danych osobowych. Pozostałe 7 zasad, uwzględniając pozostałe postanowienia dyrektywy, to: 1) zasada celowości przetwarzania danych, 2) zasada adekwatności przetwarzania danych, 3) zasada poprawności merytorycznej danych, 4) zasada ograniczenia czasowego przetwarzania danych, 5) zasada poszanowania praw osób fizycznych przy przetwarzaniu ich danych osobowych, 6) zasada stosowania odpowiednich środków zabezpieczenia danych, 7) zakaz przekazywania danych poza teren Europejskiego Obszaru Gospodarczego poza przypadkami wskazanymi w dyrektywie.

Unia Europejska - Dyrektywa Wprowadzenie jednolitej ochrony danych osobowych w państwach członkowskich Unii Europejskiej jest warunkiem koniecznym zapewnienia swobodnego przepływu towarów, usług i osób pomiędzy krajami Wspólnoty, jako że przepływ ten wiąże się z koniecznym przekazywaniem danych osobowych. Zadaniem dyrektywy jest zatem próba pogodzenia przeciwstawnych wartości związanych z ochroną danych osobowych: prawa do ochrony prywatności oraz konieczności obrotu danymi osobowymi, w szczególności w operacjach gospodarczych. Postanowienia dyrektywy nie wyznaczają minimalnego standardu ochrony danych osobowych, lecz służą zarówno ochronie osób fizycznych, jak i zapewnieniu swobodnego przepływu danych osobowych.

Konstytucja RP art. 47 gwarantuje każdemu prawo do ochrony życia prywatnego, rodzinnego, czci i dobrego imienia oraz do decydowania o swoim życiu osobistym. Natomiast w art. 51 zawarte zostały bezpośrednie gwarancje ochrony danych osobowych. Należy wśród nich wymienić: a) prawo do samodzielnego decydowania każdej osoby o ujawnianiu dotyczących jej informacji, b) prawo każdej osoby do sprawowania kontroli nad informacjami na swój temat, gwarantowane prawem dostępu do dotyczących jej urzędowych dokumentów i zbiorów danych, c) prawo do weryfikowania lub żądania usunięcia danych osobowych.

Konstytucja RP Konstytucja formułuje również wyraźne ograniczenie skierowane pod adresem władz publicznych, a dotyczące pozyskiwania, gromadzenia i udostępniania informacji o obywatelach wyłącznie w takim zakresie, jaki jest niezbędny w demokratycznym państwie prawnym. W art. 51 ust. 5 Konstytucji RP zawarta została zapowiedź uchwalenia ustawy regulującej „zasady i tryb gromadzenia oraz udostępniania informacji”. Jak powszechnie przyjmuje się w nauce prawa. Wykonaniem tej zapowiedzi stało się uchwalenie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.).