Jednostki organizacyjne ochrony przeciwpożarowej, o których mowa w art. 15 ustawy o ochronie przeciwpożarowej, przetwarzają dane osobowe w związku z prowadzonymi działaniami ratowniczymi.
System Wspomagania Decyzji Państwowej Straży Pożarnej (SWD PSP)
Wiele z przetwarzanych danych, w tym dane osobowe, trafia do systemu teleinformatycznego zwanego Systemem Wspomagania Decyzji Państwowej Straży Pożarnej (SWD PSP), o którym mowa w art. 14g ustawy o ochronie przeciwpożarowej. Niniejszy dokument jest związany z wypełnieniem obowiązków określonych w art. 13 ogólnego Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO). SWD PSP funkcjonuje w jednostkach organizacyjnych Państwowej Straży Pożarnej w oparciu o art. 14g, 14h i 14ha ustawy z dnia 24 sierpnia 1991 r. o ochronie przeciwpożarowej.
Współadministratorzy Danych Osobowych w SWD PSP
Współadministratorami danych osobowych przetwarzanych w SWD PSP są: Komendant Główny Państwowej Straży Pożarnej, komendanci wojewódzcy Państwowej Straży Pożarnej, komendanci powiatowi (miejscy) Państwowej Straży Pożarnej, Rektor-Komendant Szkoły Głównej Służby Pożarniczej i komendanci szkół Państwowej Straży Pożarnej.
Współadministratorzy uzgodnili zakres odpowiedzialności oraz podział zadań związanych z przetwarzaniem danych osobowych w ramach Systemu Wspomagania Decyzji Państwowej Straży Pożarnej. Ustalili również wspólny punkt kontaktowy, do którego można zwracać się z wszelkimi sprawami dotyczącymi przetwarzania danych osobowych w Systemie.
Dokument określa zakresy odpowiedzialności i zadań współadministratorów danych osobowych oraz ich relacje względem siebie, względem osób, których dane dotyczą, względem innych jednostek ochrony przeciwpożarowej, które uzyskały dostęp do SWD PSP, oraz względem organu nadzorczego.
Ramy Prawne Ochrony Danych Osobowych
Ogólne Rozporządzenie o Ochronie Danych (RODO)
Kolejnym istotnym, a zarazem nowym elementem systemu ochrony procesów przetwarzania danych są przepisy Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO). RODO zastąpiło przepisy dotychczasowej ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (UODO). Rozporządzenie ma zasięg ogólny, wiąże w całości i jest bezpośrednio stosowane we wszystkich Państwach Członkowskich, co oznacza, że w Polsce stosuje się jego zapisy 1:1.
Definicje Danych Osobowych i Wrażliwych
RODO przedstawia nowe definicje. W rozumieniu tego przepisu danymi osobowymi są informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej (której te dane dotyczą). Możliwa do zidentyfikowania osoba to taka, którą można zidentyfikować bezpośrednio lub pośrednio, w szczególności na podstawie imienia i nazwiska, numeru identyfikacyjnego, danych o lokalizacji, identyfikatora internetowego lub jednego bądź kilku szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Przepisy wyróżniają również szczególne kategorie danych osobowych (zwane również sensytywnymi lub wrażliwymi), o których mowa w art. 9 RODO. Są to m.in. dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, dane o stanie zdrowia, kodzie genetycznym, dane biometryczne (jak wizerunek twarzy czy dane daktyloskopijne).
Dane osobowe cechuje różny stopień wrażliwości i krytyczności, co może wymagać dodatkowego poziomu ochrony lub specjalnego traktowania. RODO umożliwia państwom członkowskim doprecyzowanie jego przepisów, w tym tych dotyczących przetwarzania szczególnych kategorii danych osobowych.
Podstawy Legalności Przetwarzania Danych (Art. 6 RODO)
Przetwarzanie danych osobowych jest zgodne z prawem wyłącznie w przypadkach, gdy spełniony jest co najmniej jeden z poniższych warunków (art. 6 ust. 1 RODO):
- osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
- przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
- przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c);
- przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
- przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e);
- przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą.
Dane osobowe są przetwarzane w PSP w oparciu o art. 6 ust. 1 lit. c, d i e RODO - w celu ochrony życia, zdrowia, mienia lub środowiska przed pożarem, klęską żywiołową lub innym miejscowym zagrożeniem, w zakresie niezbędnym do realizacji zadań wynikających z ustawy o ochronie przeciwpożarowej, uzyskane w związku z prowadzeniem działań ratowniczych oraz obsługą zgłoszeń alarmowych, o których mowa w art. 2 pkt 2 ustawy z dnia 22 listopada 2013 r. o systemie powiadamiania ratunkowego.
Państwowa Straż Pożarna, jako formacja składająca się z jednostek administracji publicznej, jest uprawniona do przetwarzania informacji, w tym danych osobowych, w celu prowadzenia postępowań kwalifikacyjnych do służby, przenoszenia do służby oraz w zakresie wynikającym z przebiegu stosunku służbowego strażaków, także po jego ustaniu. Obejmuje to przetwarzanie szczególnych kategorii danych osobowych (art. 9 RODO) i danych dotyczących wyroków skazujących (art. 10 RODO).
W przypadku podmiotu publicznego, takiego jak PSP, przesłankami przetwarzania danych zwykłych, które powinny być analizowane w pierwszej kolejności, są te określone w art. 6 ust. 1 lit. c (obowiązek prawny) lub lit. e RODO (zadanie realizowane w interesie publicznym lub władza publiczna). Zgoda jako podstawa przetwarzania danych jest przez podmiot publiczny stosowana tylko wtedy, gdy nie może on powołać się na pozostałe przesłanki legalizujące przetwarzanie danych.
Obowiązek Informacyjny Administratora Danych
Przepisy prawa nakładają na administratorów danych obowiązek informacyjny (art. 13 i 14 RODO), który powinien być spełniony, gdy dane zbierane są bezpośrednio od osoby, której one dotyczą, oraz w przypadkach gromadzenia danych ze źródeł pośrednich. Informacje te należy w indywidualny sposób przekazać osobie, której dane dotyczą, w zasadzie przed rozpoczęciem zbierania danych. W klauzuli informacyjnej należy uwzględnić zakres określony w art. 13 lub 14 RODO oraz dodatkowo informacje o danych pozostałych współadministratorów oraz o zakresie odpowiedzialności i podziale zadań.
Administratorzy na mocy art. 14h ust. 2 ustawy o ochronie przeciwpożarowej wykonują obowiązek informacyjny.
Przetwarzanie Danych Osobowych Strażaków OSP
Znaczenie Danych w Działalności OSP
Jednostka Ochotniczej Straży Pożarnej (OSP) działa w oparciu o pracę społeczną jej członków, a dane strażaków są potrzebne do realizacji celów, takich jak skierowania na szkolenia, listy strażaków uprawnionych do działań, karty zgłoszeń na zawody czy sprawozdania. Każda organizacja, w tym OSP, w związku ze swoją działalnością zbiera dane osobowe i musi stosować się do przepisów RODO.
Rodzaje Gromadzonych Danych przez OSP
OSP powinna przechowywać tylko te dane, które są potrzebne do realizacji celów działalności. Z pewnością będą to: imię, nazwisko, data urodzenia, PESEL. Dane dotyczące członkostwa w OSP stanowią kolejną kategorię. Dane antropologiczne są niezbędne podczas zakupu umundurowania. Oprócz podstawowych danych, jednostki mogą gromadzić informacje o przebiegu służby, np. daty kursów, szkoleń, ćwiczeń, akcji, informacje o posiadanych uprawnieniach, badaniach lekarskich, czy odznaczeniach.
Ewidencja Danych: Metody i Narzędzia
Ewidencja danych strażaków może być prowadzona w formie papierowej lub elektronicznej. Ewidencja papierowa ma wiele ograniczeń, jest pracochłonna, a przygotowywanie na jej podstawie statystyk jest utrudnione. W przypadku dokumentacji elektronicznej możliwości są większe, np. poprzez rozbudowane arkusze kalkulacyjne lub dedykowane programy dla OSP, takie jak Strażak.Online. Takie aplikacje ułatwiają prowadzenie dokumentacji, przygotowywanie raportów, zestawień i wniosków, a także umożliwiają elastyczny system uprawnień i zaangażowanie całej jednostki w proces ewidencji danych.
Wypłata Ekwiwalentu dla Strażaków OSP a RODO
Urząd ma obowiązek wypłacać ekwiwalent członkom Ochotniczych Straży Pożarnych. Straże składają listę zawierającą dane osobowe takie jak: imię i nazwisko, adres, datę urodzenia oraz numer rachunku bankowego. W tym przypadku nie jest konieczne pozyskiwanie zgody tych strażaków na przetwarzanie ich danych osobowych w zakresie niezbędnym do realizacji obowiązku wypłaty ekwiwalentu. Podstawa przetwarzania danych wynika z art. 6 ust. 1 lit. c RODO, czyli wypełnienia obowiązku prawnego ciążącego na administratorze.
Zasady Udostępniania Danych przez PSP
W ramach Systemu Wspomagania Decyzji Państwowej Straży Pożarnej przetwarzane są w szczególności dane osobowe osoby zgłaszającej oraz osób, których zgłoszenie dotyczy, a także osób poszkodowanych, właścicieli lub zarządców obiektów, wobec których prowadzone są działania jednostek ochrony przeciwpożarowej. Odbiorcami danych są jednostki organizacyjne PSP oraz inne organy na mocy przepisów odrębnych ustaw. Dane osobowe podlegają przeglądowi nie rzadziej niż co 5 lat od dnia ich uzyskania i są przechowywane wyłącznie przez okres niezbędny do realizacji zadań wynikających z ustawy. Nie są przekazywane do państwa trzeciego lub organizacji międzynarodowej. Podanie danych osobowych jest wymogiem ustawowym i jest obowiązkowe. Przetwarzanie podanych danych osobowych nie podlega zautomatyzowanemu podejmowaniu decyzji, w tym profilowaniu.
Minimalne Wymagania PSP dotyczące Realizacji Zadań
Wprowadzono szczegółowe wymagania dotyczące realizacji zadań przez współadministratorów Systemu Wspomagania Decyzji Państwowej Straży Pożarnej, które obejmują:
Zbieranie i Utrwalanie Danych
- Osoby pozyskujące dane muszą spełniać minimalne wymogi bezpieczeństwa osobowego.
- Dane zbierane w związku z działaniami ratowniczymi mogą być pierwotnie utrwalane na nośnikach papierowych, skąd niezwłocznie przenoszone są do SWD PSP. Po skutecznym przeniesieniu, dane utrwalone w formie papierowej powinny zostać zniszczone, chyba że zostaną włączone do akt sprawy. Odpowiedzialność za te czynności spoczywa na osobie pierwotnie utrwalającej dane.
- Wyjątek stanowią notatniki Kierownika Działania Ratowniczego (KDR) i notatniki dyżurnego stanowiska kierowania PSP (dyżurnego SK), które podlegają rejestracji i niszczeniu do 3 miesięcy po upływie roku kalendarzowego, w którym zostały wytworzone.
- Dane mogą być utrwalane w postaci zapisów rozmów na rejestratorach dźwięku w stanowiskach kierowania. Okres przechowywania nagrań nie powinien być dłuższy niż 3 miesiące, z wyjątkiem nagrań z obsługi zgłoszeń alarmowych, które przechowuje się przez 3 lata na zewnętrznym nośniku.
- Dokumentacja multimedialna (audio, zdjęcia i wideo) powinna być wykonywana sprzętem służbowym przez uprawnione osoby. Zabrania się wykorzystywania ogólnie dostępnych systemów informatycznych, w tym mediów społecznościowych, do przetwarzania dokumentacji ze zdarzeń.
- Dokumentacja multimedialna może być wykorzystana do celów informacyjnych, prewencji społecznej oraz szkoleniowych, pod warunkiem odpowiedniego zanonimizowania danych.
Przekazywanie Danych Środkami Łączności
- Dopuszcza się przekazywanie danych telefonicznie bądź pocztą elektroniczną pomiędzy stanowiskami kierowania KG PSP, KW PSP, KP PSP lub poprzez funkcje SWD PSP.
- Pliki z danymi zawierającymi dane osobowe SWD PSP powinny być zabezpieczone środkami ochrony kryptograficznej i hasłem, przekazanym odbiorcy w sposób odrębny.
- Zabronione jest przekazywanie za pomocą niekodowanych środków łączności informacji, które umożliwiają zidentyfikowanie konkretnych osób, w tym obejmujących szczególne kategorie danych osobowych, o których mowa w art. 9 ust. 1 RODO.
Wprowadzanie i Weryfikacja Danych w SWD PSP
- Dane do systemu wprowadza osoba spełniająca minimalne wymagania bezpieczeństwa osobowego, niezwłocznie po ich uzyskaniu.
- Dokumentacja papierowa zdarzenia przed włączeniem w akta sprawy powinna uzyskać kontrasygnatę administratora lub osoby upoważnionej, potwierdzającą poprawność danych.
- Korekty danych mogą być dokonywane przez osobę uprawnioną do sporządzania danego typu dokumentacji.
- Weryfikacja danych ze zdarzeń odbywa się dwutorowo: zdarzenia szczególne są weryfikowane przez służbę dyżurną SK KG PSP, a wybrane grupy zdarzeń cyklicznie przez pracowników WPDO KCKRiOL.
Udostępnianie Danych Podmiotom Uprawnionym
Dane osobowe mogą być udostępniane w następujących przypadkach:
- na podstawie przepisów prawa organom publicznym, w szczególności w ramach konkretnego postępowania;
- na podstawie wniosku od podmiotu uprawnionego do otrzymania danych na podstawie przepisów prawa;
- na podstawie umowy z odbiorcą danych lub współadministratorem danych, w ramach której istnieje konieczność udostępnienia danych.
Dane utrwalone w SWD PSP w związku ze zdarzeniem mogą być udostępniane tylko na pisemny, zaakceptowany przez administratora wniosek. Udostępnianie powinno odbywać się w sposób zapewniający poufność i integralność danych, a pliki zawierające dane osobowe powinny zostać zabezpieczone. Każdorazowe udostępnienie musi być odnotowane w rejestrze udostępnień danych innym podmiotom.
Osoby przekazujące dane na ich prośbę mogą być informowane o zasadach przetwarzania danych przez PSP poprzez odesłanie ich na stronę internetową komendy lub Biuletyn Informacji Publicznej (BIP).
Dostęp do Danych w Strukturze SWD PSP
Wprowadzono ograniczenie w dostępie do danych przetwarzanych w SWD PSP na równorzędnych poziomach struktury organizacyjnej PSP. Administratorzy na danym szczeblu posiadają dostęp do własnych danych oraz do danych jednostek podległych (nadzorowanych), lecz nie posiadają dostępu do danych jednostek z tego samego szczebla organizacyjnego PSP. Wyjątek stanowią dane przetwarzane przez szkoły pożarnicze, do których mają dostęp również jednostki szczebla powiatowego, na których terenie działania funkcjonuje szkoła.
Ograniczenia w Udostępnianiu Danych
Niedozwolone jest przekazywanie wydruków z danymi osobowymi osobom nieuprawnionym. Wszelkie wydruki nadmiarowe lub nieprzydatne należy niszczyć za pomocą niszczarki. Dokumenty, których nie można zniszczyć, powinny być składowane w miejscu z ograniczonym dostępem, systematycznie weryfikowane, a następnie archiwizowane. Usuwanie danych z SWD PSP może nastąpić wyłącznie w przypadkach określonych w art. 17 RODO, na pisemny wniosek osoby, której dane dotyczą lub z inicjatywy administratora.
Dane osobowe w katalogu sił i środków należy weryfikować i aktualizować na bieżąco. W ramach przeglądu administrator anonimizuje dane osobowe utrwalone w SWD PSP zawarte w dokumentacji zdarzenia, starsze niż 5 lat, oraz usuwa nieaktualne dane w katalogu sił i środków. Anonimizacja polega na trwałym usunięciu wybranych danych w taki sposób, że osób, których dane dotyczą, nie można już zidentyfikować.
Wyzwania i Interpretacje w Praktyce
Dyskusje wokół Wdrożenia RODO
Wdrożenie RODO, które obowiązuje od 25 maja 2018 r., wywołało wiele pytań i dyskusji w środowisku PSP i OSP. Wątpliwości dotyczyły m.in. konieczności przedstawiania się dyspozytorów z imienia i nazwiska, sposobu przekazywania telefonicznie danych obsady jednostek OSP, czy zasad monitoringu obiektów. Wielu administratorów danych, w tym w komendach PSP, musiało wprowadzić analizę ryzyka i spisać, jakie dane osobowe są przetwarzane. Częstym problemem był brak zgód na przetwarzanie danych od ochotników.
Dane Osobowe w Dokumentacji Zdarzeń
W praktyce pojawiały się pytania dotyczące gromadzenia danych osób poszkodowanych. Wskazywano, że dane te nie są konieczne do uzupełniania w pkt 24 meldunku, a bezpieczniej jest wpisać "Osoba 1", "Osoba 2". Imię i nazwisko często nie jest wystarczające do zidentyfikowania osoby, w przeciwieństwie do numeru PESEL. Przetwarzanie danych poszkodowanych w PSP czy OSP jest uregulowane, podobnie jak dane funkcjonariuszy czy pracowników w ramach umów o pracę.
Na temat udostępniania danych podczas interwencji, np. w przypadku kolizji drogowej, pojawiały się wątpliwości. Kierownik Działania Ratowniczego (KDR) ma obowiązek sporządzenia dokumentacji zgodnej z rozporządzeniem KSRG i może pozyskać niezbędne dane bez zgody osoby, której dotyczą, jednak tylko te wymagane rozporządzeniem (np. imię i nazwisko), nie zaś np. miejsce zamieszkania.
Relacje z Innymi Służbami
W kontekście przekazywania danych innym służbom, takim jak policja, podkreślano, że PSP jest odpowiedzialna za sposób przetwarzania danych zgodnie z RODO. Jeśli funkcjonariusz policji wyrzuci przekazane mu dane, to jest to jego odpowiedzialność. Ważne jest, aby PSP publikowała zasady przetwarzania danych na swoich stronach internetowych i w BIP, aby osoby zainteresowane mogły się z nimi zapoznać. Do czynności służbowych, wynikających z innych przepisów prawa, RODO często nie ma bezpośredniego zastosowania, co pozwala na pewne działania np. weryfikację kierowcy przez policję na podstawie numeru PESEL.