Zasady udostępniania danych i informacji przez Ochotnicze Straże Pożarne (OSP) są złożone i wynikają z różnych aktów prawnych, w tym z ogólnego rozporządzenia o ochronie danych (RODO) oraz ustawy o dostępie do informacji publicznej. Poniższa analiza ma na celu przedstawienie kluczowych aspektów dotyczących tego, komu i na jakich zasadach OSP może lub musi udostępniać posiadane dane.
RODO a udostępnianie danych osobowych
RODO przewiduje szczególne zasady przekazywania danych osobowych przez ich administratora innym podmiotom, w tym odbiorcom i procesorom. Udostępnienie danych osobowych stanowi czynność przetwarzania danych osobowych, w związku z czym każdorazowo należy ustalić, na jakiej podstawie do takiego udostępnienia dochodzi.
Kim jest odbiorca danych osobowych?
W kontekście przekazywania danych osobowych RODO używa pojęcia odbiorcy. Odbiorca oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się dane osobowe niezależnie od tego, czy jest stroną trzecią.
Należy jednak pamiętać, że organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są uznawane za odbiorców. Przetwarzanie tych danych przez te organy publiczne musi być zgodne z przepisami o ochronie danych mającymi zastosowanie stosownie do celów przetwarzania.
Organy publiczne, którym ujawnia się dane osobowe w związku z ich prawnym obowiązkiem sprawowania funkcji publicznej (takich jak organy podatkowe, organy celne, finansowe jednostki analityki finansowej, niezależne organy administracyjne czy organy rynków finansowych regulujące i nadzorujące rynki papierów wartościowych), nie powinny być traktowane jako odbiorcy, jeżeli otrzymane przez nie dane osobowe są im niezbędne do przeprowadzenia określonego postępowania w interesie ogólnym zgodnie z prawem Unii lub prawem państwa członkowskiego. Żądanie ujawnienia danych osobowych, z którym występują takie organy publiczne, powinno zawsze mieć formę pisemną, być uzasadnione, mieć charakter wyjątkowy, nie powinno dotyczyć całego zbioru danych ani prowadzić do połączenia zbiorów danych.
Przekazywanie danych osobowych podmiotom przetwarzającym (procesorom)
Podmiot przetwarzający (procesor) oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który przetwarza dane osobowe w imieniu administratora. Jeżeli przetwarzanie ma być dokonywane w imieniu administratora, korzysta on wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia i chroniło prawa osób, których dane dotyczą.
Podmiot przetwarzający nie korzysta z usług innego podmiotu przetwarzającego bez uprzedniej szczegółowej lub ogólnej pisemnej zgody administratora. W przypadku ogólnej pisemnej zgody podmiot przetwarzający informuje administratora o wszelkich zamierzonych zmianach dotyczących dodania lub zastąpienia innych podmiotów przetwarzających, dając tym samym administratorowi możliwość wyrażenia sprzeciwu wobec takich zmian.
Przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający oraz administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora.
Ta umowa lub inny instrument prawny stanowią w szczególności, że podmiot przetwarzający:
- przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora - co dotyczy też przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej - chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego, któremu podlega podmiot przetwarzający; w takim przypadku przed rozpoczęciem przetwarzania podmiot przetwarzający informuje administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny;
- zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;
- podejmuje wszelkie środki wymagane na mocy art. 32 RODO;
- przestrzega warunków korzystania z usług innego podmiotu przetwarzającego;
- biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III RODO;
- uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga administratorowi wywiązać się z obowiązków określonych w art. 32-36 RODO;
- po zakończeniu świadczenia usług związanych z przetwarzaniem zależnie od decyzji administratora usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych;
- udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszym artykule oraz umożliwia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.
W związku z obowiązkiem przetwarzania danych osobowych wyłącznie na polecenie administratora podmiot przetwarzający niezwłocznie informuje administratora, jeżeli jego zdaniem wydane mu polecenie stanowi naruszenie RODO lub innych przepisów Unii Europejskiej bądź państwa członkowskiego o ochronie danych. Umowa lub inny akt prawny będący podstawą powierzenia przetwarzania danych osobowych mają formę pisemną, w tym formę elektroniczną.
Jeżeli podmiot przetwarzający naruszy niniejsze rozporządzenie przy określaniu celów i sposobów przetwarzania, uznaje się go za administratora w odniesieniu do tego przetwarzania. Podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego.
Każdy podmiot przetwarzający oraz - gdy ma to zastosowanie - przedstawiciel podmiotu przetwarzającego prowadzą rejestr wszystkich kategorii czynności przetwarzania dokonywanych w imieniu administratora, zawierający następujące informacje:
- imię i nazwisko lub nazwa oraz dane kontaktowe podmiotu przetwarzającego lub podmiotów przetwarzających oraz każdego administratora, w którego imieniu działa podmiot przetwarzający, a gdy ma to zastosowanie - przedstawiciela administratora lub podmiotu przetwarzającego oraz inspektora ochrony danych;
- kategorie przetwarzań dokonywanych w imieniu każdego z administratorów;
- gdy ma to zastosowanie - informacje o przekazaniu danych osobowych do państwa trzeciego lub organizacji międzynarodowej, w tym nazwa tego państwa trzeciego lub organizacji międzynarodowej, a w przypadku przekazań, o których mowa w art. 49 ust. 1 akapit drugi RODO, odpowiednia dokumentacja poświadczająca istnienie odpowiednich zabezpieczeń.
Podstawa prawna udostępniania danych osobowych
Jedną z przesłanek legalności przetwarzania danych jest zgoda osoby, której dane dotyczą, czyli jej oświadczenie woli, w którym udziela pozwolenia na ich przetwarzanie. Co ważne, może być ono odwołane w każdym momencie. Należy pamiętać, że zgoda na przetwarzanie danych osobowych nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści.
Kolejną przesłanką legalizującą procesy przetwarzania danych osobowych może być realizacja obowiązku prawnego, np. wynikająca z ustawy z 24 sierpnia 1991 r. o ochronie przeciwpożarowej, w tym: obowiązki komendanta głównego Państwowej Straży Pożarnej, konieczność przyjmowania zgłoszeń alarmowych i obsługi numeru alarmowego 112 oraz związane z tym wszelkie procedury przetwarzania danych osobowych zgłoszenia alarmowego (art. 10 ust. 1).
Przetwarzanie danych osobowych jest dopuszczalne również, gdy dochodzi do realizacji umowy. Podstawą takiego twierdzenia jest art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych, który stanowi, że przetwarzanie danych osobowych jest dopuszczalne, gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą.
W kontekście udostępniania danych na żądanie podmiotów publicznych, Urząd Ochrony Danych Osobowych (UODO) często podkreśla, że każdy wniosek o udostępnienie danych wymaga indywidualnej analizy. Podmiot publiczny wnioskujący o udostępnienie danych osobowych powinien w pierwszej kolejności wyraźnie wskazać podstawę prawną takiego żądania w postaci przepisów sektorowych. Podmioty publiczne są bowiem zobowiązane działać wyłącznie na podstawie i w granicach prawa, co zostało unormowane w art. 7 Konstytucji RP.
W opinii UODO, występowanie z wnioskiem o udostępnienie danych osobowych wyłącznie na podstawie przepisów RODO nie znajduje uzasadnienia prawnego, ponieważ podstawą kompetencji i zadań realizowanych przez organy publiczne nie są unormowania RODO, lecz przepisy krajowe stanowiące o kompetencjach tych organów i sposobie ich realizacji. Zatem takie podmioty w pierwszej kolejności powinny wskazywać przepisy szczególne, na podstawie których działają, a następnie w ich świetle przesłanki z RODO.
Przedstawiciele ośrodków pomocy społecznej (OPS) słusznie powołują się na art. 100 ustawy o pomocy społecznej, który wskazuje na niedopuszczalność ujawniania informacji z postępowań administracyjnych prowadzonych przez ośrodki pomocy społecznej na rzecz wszelkich podmiotów, w tym innych organów administracji publicznej - o ile nie ma wyraźnej podstawy ustawowej. Dlatego w ocenie UODO, podmioty publiczne wnioskujące o udostępnienie danych osobowych nie mogą powoływać się jedynie na niezbędność przetwarzania danych do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (tj. przesłankę z art. 6 ust. 1 lit. e RODO), jeżeli nie ma konkretnego przepisu ustawy.
Natomiast gdy udzielenia informacji żąda od instytucji sąd prowadzący postępowanie cywilne, pod uwagę należy wziąć art. 248 §1 Kodeksu postępowania cywilnego, który stanowi, że każdy obowiązany jest przedstawić na zarządzenie sądu w oznaczonym terminie i miejscu dokument znajdujący się w jego posiadaniu i stanowiący dowód faktu istotnego dla rozstrzygnięcia sprawy, chyba że dokument zawiera informacje niejawne. Zatem w tym przypadku zastosowanie znajdzie przesłanka z art. 6 ust. 1 lit. c RODO, czyli wypełnienie obowiązku prawnego.
Przesłanka z art. 23 ust. 1 pkt 4 UODO (obecnie art. 6 ust. 1 lit. e RODO) dotyczy sytuacji, gdy brak jest odpowiednich przepisów prawa wprost upoważniających do przetwarzania danych, ale ze względu na konieczność wykonywania określonych przez prawo zadań realizowanych dla dobra publicznego dane te muszą być przetwarzane bez zgody osób, których dotyczą. Przetwarzanie danych osobowych musi więc być niezbędne w procesie realizacji określonych prawem zadań i służyć dobru publicznemu. Nie uzasadnia to jednak udostępnienia danych, jeśli nie jest ono niezbędne dla realizacji zadań podmiotu udostępniającego.
Żywotne interesy osoby, której dane dotyczą, należy rozumieć jako interesy niezbędne dla życia tej osoby. Przesłanka ta staje się szczególnie istotna, gdy podmiot danych nie może wyrazić zgody ze względu na swój stan psychofizyczny, a zachodzi konieczność przetwarzania danych na potrzeby np. ratowania życia jej lub innych.
OSP jako podmiot publiczny lub niepubliczny - wpływ na obowiązki
Każda OSP jest osobnym stowarzyszeniem, w związku z czym nie da się zastosować jednej interpretacji prawnej dla wszystkich. Poszczególne ochotnicze straże pożarne są niezależnymi od siebie stowarzyszeniami, działającymi na podstawie ustawy z dnia 7 kwietnia 1989 r. „Prawo o stowarzyszeniach”. Każda OSP posiada swój odrębny statut, a postanowienia statutowe różnią się od siebie. OSP, jako podmioty od siebie niezależne, mogą być finansowane z różnych źródeł w różnym stopniu i zakresie.
Status OSP a adres do doręczeń elektronicznych
Odpowiedź na pytanie, czy OSP ma obowiązek posiadania adresu do eDoręczeń, zależy od określenia, czy w świetle ustawy o doręczeniach elektronicznych jest ona podmiotem publicznym czy niepublicznym, treści jej statutu i zakresu finansowania przez podmioty publiczne.
Przy ustalaniu, czy OSP jest zobowiązana do posiadania adresu do doręczeń elektronicznych, należy najpierw określić, czy w świetle ustawy o doręczeniach elektronicznych będzie ona podmiotem publicznym czy niepublicznym. To zaś zależy od treści statutu każdej OSP, z którego wynika, w jakim celu została utworzona. W świetle ustawy o eDoręczeniach OSP będzie podmiotem publicznym, jeżeli jest finansowana w więcej niż połowie przez podmiot lub podmioty publiczne - zgodnie z definicją zawartą w art. 2 pkt 6 ustawy o doręczeniach elektronicznych.
Podmiot publiczny jest zaś obowiązany do posiadania adresu do doręczeń elektronicznych wpisanego do bazy adresów elektronicznych, powiązanego z publiczną usługą rejestrowanego doręczenia elektronicznego. Stanowi o tym art. 9 ust. 1 ustawy o doręczeniach elektronicznych. Z kolei OSP finansowana przez podmiot lub podmioty publiczne w wysokości niższej niż 50 proc. może być traktowana jako podmiot niepubliczny.
Przy analizie zapisów ustawowych w powiązaniu z działalnością konkretnych OSP i indywidualnych zapisów statutowych może okazać się, że część OSP należy zaliczyć do grona podmiotów publicznych, a część do podmiotów niepublicznych. Zaliczenie OSP do grona podmiotów publicznych będzie nakładało na OSP obowiązek posiadania adresu do doręczeń elektronicznych. W przypadku zaliczenia OSP do grona podmiotów niepublicznych, tylko OSP wpisane do rejestru przedsiębiorców KRS są obowiązane do posiadania adresu do doręczeń elektronicznych - zgodnie z art. 136 ustawy o doręczeniach elektronicznych.
OSP a ustawa o dostępie do informacji publicznej
Podmioty zobowiązane do udostępnienia informacji publicznej określone zostały w art. 4 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej. W stosunku do Ochotniczych Straży Pożarnych (dalej OSP) zastosowanie będzie miał zapis ust. 1 pkt 5 tego artykułu, który mówi o podmiotach wykonujących zadania publiczne lub dysponujących majątkiem publicznym.
Kto jest zobowiązany do udostępniania informacji publicznej?
Do zakresu podmiotowego wskazanego w art. 4 ust. 1 pkt 5 ustawy o dostępie do informacji publicznej należy zaliczyć podmioty, które w niektórych przypadkach wykonują tzw. funkcje zlecone z zakresu zadań publicznych, zaś w szerszym stopniu realizują zadania publiczne. Do tych podmiotów należy zaliczyć fundacje, zakłady administracyjne oraz organizacje pozarządowe. Przykładem takich podmiotów są: ochotnicze straże pożarne, Polski Czerwony Krzyż czy Polski Związek Łowiecki.
Ustawodawca nałożył obowiązek udzielania informacji publicznej na wszystkie podmioty dysponujące mieniem publicznym. Należy uznać, że każdy podmiot, który gospodaruje choćby niewielką częścią publicznego mienia, ma obowiązek udostępniania informacji na jego temat. Można powiedzieć, że prawo do informacji podąża za publicznym mieniem i osoby uprawnione mogą żądać informacji od każdego, kto takim mieniem zarządza lub z niego korzysta.
Termin „zadania publiczne” (art. 4 ust. 1 pkt 5 ustawy o dostępie do informacji publicznej) jest pojęciem szerszym od terminu „zadań władzy publicznej” (art. 61 Konstytucji RP). Pojęcie „zadanie publiczne” użyte w art. 4 ustawy o dostępie do informacji publicznej ignoruje element podmiotowy i oznacza, że zadania publiczne mogą być wykonywane przez różne podmioty niebędące organami władzy i bez konieczności przekazywania tych zadań. Tak rozumiane „zadanie publiczne” cechuje powszechność i użyteczność dla ogółu, a także sprzyjanie osiąganiu celów określonych w Konstytucji lub ustawie. Wykonywanie zadań publicznych zawsze wiąże się z realizacją podstawowych publicznych praw podmiotowych obywateli.
O podleganiu zakresowi podmiotowemu ustawy o dostępie do informacji publicznej decydują dwa elementy: charakter wykonywanych zadań (powinny być one nakierowane na realizację potrzeb społeczeństwa, a nie indywidualnych potrzeb danej korporacji) oraz rodzaj majątku, którym dysponuje dany podmiot (mienie Skarbu Państwa lub jednostki samorządu terytorialnego).
Przepis art. 4 ust. 1 pkt 5 ustawy o dostępie do informacji publicznej zawiera dwie przesłanki przesądzające o zobowiązaniu podmiotu do udzielenia informacji publicznej, przy czym przesłanki te nie muszą być spełnione kumulatywnie, o czym świadczy użycie spójnika „lub”. Wystarczającym więc do uznania podmiotu jako zobowiązanego do udzielenia informacji publicznej jest wykonywanie zadań publicznych lub dysponowanie majątkiem publicznym. Spełnienie choćby jednej z wymienionych w tym przepisie przesłanek pozwala przyjąć, że dany podmiot jest zobowiązany do udzielenia informacji publicznej.
Czym jest informacja publiczna?
Definicja informacji publicznej została zawarta w art. 1 ust. 1 i art. 6 ustawy o dostępie do informacji publicznej i jest bardzo szeroka. Z perspektywy OSP szczególną uwagę należy zwrócić na art. 6 ust. 1 pkt 5 lit. d) ustawy, dotyczący majątku podmiotów, o których mowa w art. 4 ust. 1 pkt 5, pochodzącym z zadysponowania majątkiem, o którym mowa w lit. a)-c).
Upraszczając, czym jest informacja publiczna należy uznać, że co do zasady, wszystko, co wiąże się bezpośrednio z funkcjonowaniem i trybem działania podmiotów, o których mowa w art. 4 ust. 1 ustawy, stanowi informację publiczną.
„Za informację publiczną uznaje się każdą wiadomość wytworzoną przez szeroko rozumiane władze publiczne i osoby pełniące funkcje publiczne lub odnoszącą się do władz publicznych, a także wytworzoną lub odnoszącą się do innych podmiotów wykonujących funkcje publiczne w zakresie wykonywania przez nie zadań władzy publicznej i gospodarowania mieniem publicznym.” Informacja publiczna dotyczy sfery faktów. Jest nią treść dokumentów wytworzonych przez organy władzy publicznej, treść wystąpień i ocen przez nie dokonywanych, niezależnie, do jakiego podmiotu są one kierowane i jakiej sprawy dotyczą.
Informację publiczną stanowią zatem dokumenty bezpośrednio wytworzone przez organ oraz niepochodzące wprost od organu, wykorzystywane przy realizacji przewidzianych prawem zadań. Charakter publiczny należy przypisać tym informacjom, które odnoszą się do publicznej sfery działalności.
Co nie jest informacją publiczną?
Należy pamiętać, że sam fakt dysponowania majątkiem publicznym nie oznacza, że każdą informację objętą wnioskiem o udostępnienie informacji publicznej należy udostępnić. W praktyce działania OSP zdecydowana większość informacji posiadanych przez OSP nie ma charakteru informacji publicznej, w szczególności tych związanych z działalnością statutową. Na przykład:
- Dokumenty prywatne: „Pisma składane w sprawach indywidualnych przez podmioty, których interesów te sprawy dotyczą, nie mają waloru informacji publicznej.” Dokument prywatny, który trafia do organu, nie staje się z tego tytułu dokumentem urzędowym. Organ nie może go więc udostępniać osobom trzecim w ramach wniosków o dostęp do informacji publicznej.
- Dokumenty wewnętrzne: „’Dokument wewnętrzny’ nie jest skierowany do podmiotów zewnętrznych. Dokumenty wewnętrzne służą wymianie informacji, zgromadzeniu niezbędnych materiałów, uzgadnianiu poglądów i stanowisk, mogą określać zasady działania w określonych sytuacjach, mogą też być fragmentem przygotowań do powstania aktu będącego formą działalności danego podmiotu.” Księga wejść/wyjść czy inne dokumenty związane z wewnętrzną organizacją funkcjonowania urzędu administracyjnego nie stanowią dokumentu urzędowego, nie stanowią bowiem ani oświadczenia woli, ani oświadczenia wiedzy, nie są też kierowane do innego podmiotu bądź składane do akt sprawy.
- Informacja przetworzona: „Prawo dostępu do informacji publicznej przetworzonej nie może być rozumiane jako nieograniczony instrument do pozyskiwania informacji o funkcjonowaniu organów administracji publicznej.”
Należy mieć na uwadze, że zdarzają się przypadki próby nadużycia prawa dostępu do informacji publicznej, polegająca na próbie korzystania z tej instytucji dla osiągnięcia celu innego aniżeli troska o dobro publiczne, oraz na próbie uzyskania dostępu do dokumentu nie podlegającego udostępnieniu w trybie informacji publicznej. Ustawa o dostępie do informacji publicznej ma służyć uniwersalnemu dobru powszechnemu związanemu z funkcjonowaniem publicznych instytucji.
Terminy i formy udostępniania informacji publicznej
- Udostępnianie informacji publicznej powinno nastąpić bez zbędnej zwłoki, nie później jednak niż w terminie 14 dni od dnia złożenia wniosku.
- Udostępnianie informacji publicznej następuje w sposób i w formie zgodnych z wnioskiem (np. pocztą elektroniczną, papierowo, ustnie).
- Jeżeli w wyniku udostępnienia informacji publicznej OSP ma ponieść dodatkowe koszty związane ze wskazanym we wniosku sposobem udostępnienia lub koniecznością przekształcenia informacji w formę wskazaną we wniosku, OSP może pobrać od wnioskodawcy opłatę w wysokości odpowiadającej tym kosztom. W takim przypadku, w terminie 14 dni od dnia złożenia wniosku, należy powiadomić o wysokości opłaty.
tags: #komu #osp #musi #udostepniac #dane