Administrator danych w resorcie obrony narodowej

Transkrypt

1 Administrator danych w resorcie obrony narodowej Zgodnie z art. 4 pkt 7 RODO tj. rozporządzenia Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) administrator oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych; jeżeli cele i sposoby takiego przetwarzania są określone w prawie Unii lub w prawie państwa członkowskiego, to również w prawie Unii lub w prawie państwa członkowskiego może zostać wyznaczony administrator lub mogą zostać określone konkretne kryteria jego wyznaczenia. Czy coś się zmieniło? W porównaniu z dotychczas obowiązującą definicją administratora danych określoną w art. 7 pkt 4 ustawy o ochronie danych osobowych z 1997 r. o brzmieniu: Ilekroć w ustawie jest mowa o administratorze danych - rozumie się przez to organ, jednostkę organizacyjną, podmiot lub osobę (...) decydujące o celach i środkach przetwarzania danych osobowych zmieniło się właściwie tylko to, ze zwrot środki przetwarzania zastąpiono pojęciem sposoby przetwarzania (Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych Komentarz P. Litwiński (red.), P. Barta/M. Kawecki Wydawnictwo C.H.Beck, Warszawa 2018 str. 217). Jak rozumieć ustalanie celów i sposobów przetwarzania danych osobowych? Cele i sposoby przetwarzania danych osobowych można ustalić poprzez zadanie dwóch pytań: dlaczego to robię (przetwarzam dane)? i jak to robię? O ile cele przetwarzania danych osobowych określa dla podmiotów publicznych sam ustawodawca, który aktem prawnym nakłada na niego obowiązek/zadanie, przy realizacji którego niezbędne jest przetwarzanie danych osobowych o tyle ustalenie sposobów przetwarzania może przybierać różne formy i obejmować różne elementy. Jak czytamy w opracowaniu RODO Ogólne rozporządzenie o ochronie danych Komentarz pod redakcją naukową Edyty Bielak-Jomaa i Dominika Lubasza, Wolters Kluwer, Warszawa 2018 str Sposoby przetwarzania odnoszą się nie tylko do samych technicznych sposobów przetwarzania danych, ale także do tego, jakie dane, przez kogo, w jakich konfiguracjach i jak długo się przetw arza- pod uwagę należy więc brać zarówno 1

2 aspekty techniczne, jak i organizacyjne. Sposoby przetwarzania mają więc stanowić wskazanie pewnej drogi do osiągnięcia ustalonych celów. Oczywiste jest, że nie zawsze administrator będzie zachowywał pełną decyzyjność co do każdego aspektu przetwarzania (...). Kluczowe jest jednak, by administrator podejmował decyzje o zasadniczym znaczeniu dla danego przetwarzania. Jak wynika z doktryny, decydowanie o celach i sposobach przetwarzania danych osobowych oznacza sprawowanie władztwa nad przetwarzanymi danymi (G. Sibiga, Postępowanie, s. 53). Podstawowym kryterium odróżniającym administratora danych osobowych od innych podmiotów przetwarzających dane jest sprawowanie faktycznej kontroli nad przetwarzaniem danych (Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych Komentarz P. Litwiński (red.), P. Barta/M. Kawecki Wydawnictwo C.H.Beck Warszawa 2018 str.217). Reasumując: administrator to ten, kto decyduje o celach i sposobach przetwarzania danych i tym samym sprawuje faktyczne władztwo nad danymi osobowymi, nawet jeśli nie ma pełnej decyzyjności co do każdego aspektu przetwarzania. Jak wygląda kwestia administratora danych osobowych w resorcie obrony narodowej? Zgodnie z art. 1 ust. 1 ustawy z dnia 14 grudnia 1995 r. o urzędzie Ministra Obrony Narodowej (Dz. U. z 2017 r. poz z późn. zm.) Minister Obrony Narodowej kieruje działem administracji rządowej obrona narodowa oraz jest organem, za którego pośrednictwem Prezydent Rzeczypospolitej Polskiej sprawuje w czasie pokoju zwierzchnictwo nad Siłami Zbrojnymi Rzeczypospolitej Polskiej. Zgodnie z art. 2 tej ustawy do zakresu zadań Ministra należy m.in. kierowanie i sprawowanie nadzoru nad wieloma zagadnieniami w resorcie obrony narodowej, w skład którego, zgodnie z Regulaminem Organizacyjnym Ministerstwa Obrony Narodowej wchodzą: Minister jako kierownik działu administracji rządowej - obrona narodowa, Ministerstwo jako urząd, jednostki organizacyjnie podległe lub nadzorowane przez Ministra, w tym Siły Zbrojne Rzeczypospolitej Polskiej. Zgodnie z 1 ust. 1 pkt 6 powołanego Regulaminu jednostka organizacyjna to jednostka niewchodząca w skład Ministerstwa, podległa lub nadzorowana przez Ministra. Wracając do ustawy o urzędzie Ministra Obrony Narodowej należy zauważyć, że zgodnie z art. 1 ust. 2 Minister Obrony Narodowej wykonuje swoje zadania przy pomocy Ministerstwa Obrony Narodowej. Z powyższego wynika, że 2

3 Minister Obrony Narodowej to organ publiczny zaś podległe mu lub nadzorowane przez niego jednostki organizacyjne to podmioty publiczne. Z dotychczasowych stanowisk: doktryny i Generalnego Inspektora Ochrony Danych Osobowych oraz orzecznictwa, które można wykorzystać w związku z tym, że obecnie obowiązująca definicja administratora nie odbiega od poprzedniej, wynika że administratorem nie zawsze jest konkretna osoba sprawująca kierownicze stanowisko a funkcji administratora nie można cedować. Administratorem danych może być: organ publiczny dla którego cele i sposoby przetwarzania danych są określone w przepisach prawa; organ administracji, a nie obsługujący go urząd (por. G. Sibiga, Postępowanie, s. 55 i powołana tam literatura); podmiot wskazany wprost w przepisach (ta sytuacja należy do rzadkości), podmiot, który ze względu na rodzaj i charakter kompetencji z zakresu spraw publicznych oraz ze względu na wyznaczone mu zadania może być uznany za tego, kto posiada faktyczne władztwo nad danymi (Komentarz P. Litwiński (red.), P. Barta/M. Kawecki Wydawnictwo C.H.Beck Warszawa 2018 str. 214, ). Istotne znaczenie ma również wyrok NSA z 30 stycznia 2002 r. II SA 1098/01, w którym wskazano, że administratorem, jest ten, kto decyduje o celach i środkach przetwarzania, przy czym zasadnicze znaczenie ma rodzaj i charakter nadanych przez prawo kompetencji z zakresu spraw publicznych. W temacie administratora wypowiedziała się też Grupa Robocza art. 29 ds. ochrony danych w Opinii nr 1/2010 w sprawie pojęć administrator i przetwarzający z r. (00264/10/PL, WP 169) oraz w kontekście opiniowania zagadnienia wyznaczania inspektora ochrony danych przez organy publiczne i podmioty publiczne zgodnie z art. 37 RODO (Wytyczne dotyczące inspektorów ochrony danych z r. 16/EN, WP 243). Zaleca ona, aby przy ustalaniu administratora danych odwoływać się do przepisów krajowych takich jak art. 5 2 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz z późn. zm.) oraz art. 9 ustawy z 27 sierpnia 2009 r. o finansach publicznych (Dz. U. z 2017 r. poz z późn. zm.), z których wynika jakie organy i podmioty należy uważać za publiczne. W skrócie są to organy państwowe i inne podmioty, gdy są powołane z mocy prawa lub na podstawie porozumień do załatwiania spraw z zakresu postępowania administracyjnego. Wydaje się, że ta podpowiedź może być zastosowana przy ustalaniu administratora danych w resorcie obrony narodowej. Reasumując: Minister Obrony Narodowej jako organ publiczny ustala cele i sposoby przetwarzania danych osobowych w resorcie obrony narodowej, w części w jakiej dane te przetwarza Ministerstwo Obrony Narodowej. W pozostałej części, w ramach resortu obrony 3

4 narodowej administratorami danych będą też, każda we własnym, określonym zakresie - jednostki organizacyjne resortu obrony narodowej (np. wojskowe komisje lekarskie) a w przypadku gdy ich dowódca/kierownik posiada status organu w rozumieniu kodeksu postępowania administracyjnego, tj. załatwia sprawy z zakresu postępowania administracyjnego - dowódca/kierownik takiej jednostki (np. dowódca danej jednostki wojskowej). Zakres kompetencji dla Ministra, jednostki organizacyjnej bądź jej kierownika wyznaczać będą przepisy prawa przyznające im określone zadania przy realizacji, których odbywa się przetwarzanie danych osobowych. Będą to np. ustawa z dnia 11 września 2003 r. o służbie wojskowej żołnierzy zawodowych (Dz. U. z 2018 r. poz. 173), ustawa z dnia 21 listopada 1967 r. o powszechnym obowiązku obrony Rzeczypospolitej Polskiej (Dz. U. z 2017 r. poz z późn. zm.), rozporządzenie Ministra Obrony Narodowej z dnia 19 listopada 2014 r. w sprawie pomocy w zakresie doradztwa zawodowego, przekwalifikowania, pośrednictwa pracy i odbywania praktyk zawodowych (Dz. U. z 2014 r., poz. 1622), rozporządzenie Ministra Obrony Narodowej z dnia 9 czerwca 2009 r. w sprawie szczegółowych warunków i trybu korzystania przez żołnierzy zwolnionych z czynnej służby wojskowej, a także małżonków oraz dzieci pozostających na utrzymaniu żołnierzy, którzy zaginęli lub ponieśli śmierć w związku z wykonywaniem zadań służbowych, z pomocy w zakresie podnoszenia kwalifikacji, przekwalifikowania, doradztwa zawodowego lub pośrednictwa pracy (Dz. U. Nr 94, poz. 778 z 2009 r.) w kontekście udzielania pomocy rekonwersyjnej. Minister z uwagi na rolę jaką wyznaczają mu przepisy prawa (kierownicza i nadzorcza) będzie mógł wskazywać sposoby realizacji obowiązków jakie zgodnie z RODO spoczywają na administratorze. Z uwagi na to, że w resorcie obrony narodowej mamy do czynienia z podległością służbową oraz dla zachowania jednolitości procesów przetwarzania danych osobowych w jednostkach podległych lub nadzorowanych przez Ministra, Minister Obrony Narodowej będzie opracowywał stosowne wytyczne, wskazówki i zalecenia, co do stosowania przepisów o ochronie danych osobowych, które będą mogły być wykorzystane przez poszczególnych administratorów w resorcie obrony narodowej. Cel przetwarzania danych dla każdego z administratorów określają bowiem przepisy prawa, a sposób realizacji tego celu tj. sposób przetwarzania danych zależy od każdego z nich z osobna, choć nie całkowicie (patrz str. 2 pierwszy akapit tego opracowania). Przedstawione stanowisko znajduje poparcie w orzeczeniach Naczelnego Sądu Administracyjnego, w których dowódca jednostki wojskowej został wskazany jako organ/strona postępowania w rozumieniu kodeksu postępowania administracyjnego (np. wyrok 4

5 NSA z r. sygn. I OSK 3184/15, wyrok NSA z r. sygn. I OSK 446/16, wyrok NSA z r. sygn. I OSK 3376/15). Istotne znaczenie ma też ważność stanowisk GIODO wyrażonych na gruncie ustawy o ochronie danych osobowych z 1997 r. Wynika z nich, że dowódca jednostki wojskowej posiada status administratora danych w rozumieniu tej ustawy (np. Sprawozdanie GIODO za rok 2009, s. 50). Poza tym, przedstawione powyżej stanowisko opiera się na wypracowanej dotychczas praktyce w zakresie prowadzenia np. ewidencji ludności, w odniesieniu do której administratorami danych będą w zakresie swoich ustawowych kompetencji: Minister Spraw Wewnętrznych i Administracji, który sprawuje zwierzchni nadzór nad wykonywaniem obowiązków określonych w tej ustawie oraz poszczególne podmioty wymienione w ustawie o ewidencji ludności, w zakresie przypisanych im tą ustawą kompetencji np. obecnie wojewodowie, organy gmin (J. Boć, Prawo administracyjne, Wrocław 1994 r., str. 141). Jako dodatkowy przykład można przytoczyć w tym miejscu przetwarzanie danych osobowych w związku z funkcjonowaniem w Polsce Centralnej Ewidencji Pojazdów i Kierowców (CEPIK), Ewidencji gruntów i budynków, systemu podatkowego POLTAX, system informacji oświatowej (SIO). W każdym z przytoczonych przypadków mamy do czynienia z wieloma administratorami danych, którzy mają władztwo nad danymi w zakresie przyznanych im kompetencji oraz ze szczególnym administratorem jakim jest właściwy Minister. Reasumując: w ramach resortu obrony narodowej oprócz Ministra Obrony Narodowej odrębnymi administratorami będą poszczególne jednostki organizacyjne albo dowódcy/kierownicy tych jednostek, jeśli załatwiają jako organ państwowy sprawy z zakresu postępowania administracyjnego. id y r e k t o r a opracowała: Maria Osierda Wydział Ochrony Danych Osobowych w Departamencie Ochrony Informacji Niejawnych Ministerstwa Obrony Narodowej 5

6 6