dr Wojciech R. Wiewiórowski Warszawa, dnia ^ października 2014 r. DECYZJA

Transkrypt

1 GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH dr Wojciech R. Wiewiórowski Warszawa, dnia ^ października 2014 r. DIS/DECdot. DIS-K-421/23/14 DECYZJA Na podstawie art pkt 1 i 2 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2013 r., poz. 267 z późn. zm.) oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 i art. 22 w związku z art. 24 ust. 1pkt 1,3 i 4, art. 26 ust. 1 pkt 1, art. 36 ust. 1 i art. 41 ust. 1 pkt 3a) ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182), 7 ust. 1 i 3 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024) oraz częścią C pkt XIII załącznika do ww. rozporządzenia, po przeprowadzeniu postępowania administracyjnego w sprawie wniosku Ministra Administracji i Cyfryzacji o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia 17 września 2014 r., nr DIS/DEC- 913/14/72580, nakazującą usunięcie uchybień w procesie przetwarzania danych osobowych przez Ministra Administracji i Cyfryzacji, w zakresie jej pkt I.I., 1.3. i 1.4., 1. Uchylam pkt LU, 1.3. i 1.4. decyzji z dnia 17 września 2014 r., nr DIS/DEC-913/14/72580, w części dotyczącej terminów jej wykonania i określam termin wykonania nakazów wskazanych w pkt LU, L3. i 1.4. ww. decyzji na rok od dnia, w którym niniejsza decyzja stanie się ostateczna. 2. W pozostałym zakresie utrzymuję w mocy zaskarżoną decyzję z dnia 17 września 2014 r., nr DIS/DEC-913/14/ KA n c e l a r i a o g ó l NA ul. S ta w k i W arszaw a W ' S U Ń o f / teł f a x w w w.g io clo.g o v.p l

2 Uzasadnienie W dniu 17 września 2014 r. Generalny Inspektor Ochrony Danych Osobowych wydał decyzję nr DIS/DEC-913/14/72580, nakazującą Ministrowi Administracji i Cyfryzacji usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez: 1. Przetwarzanie danych osobowych osób zakładających konto w systemie epuap zgodnie z prawem poprzez zapewnienie, aby zakres pozyskiwanych danych od ww. osób w związku z zakładaniem konta we wskazanym systemie był zgodny z zakresem określonym w 3 ust. 1 rozporządzenia Ministra Administracji i Cyfryzacji z dnia 6 maja 2014 r. w sprawie zakresu i warunków korzystania z elektronicznej platformy usług administracji publicznej (Dz. U. z 2014 r., poz. 584), w terminie 30 dni od dnia, w którym decyzja stanie się ostateczna. 2. Dokonanie aktualizacji zgłoszenia do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych zbioru danych osobowych o nazwie epuap-profil, w części dotyczącej zakresu danych przetwarzanych w tym zbiorze, o adres IP użytkowników systemu epuap, w terminie 14 dni od dnia, w którym decyzja stanie się ostateczna. 3. Dokonanie modyfikacji systemu epuap w taki sposób, aby zapewniał on dla każdej osoby, której dane osobowe są przetwarzane w systemie informatycznym, sporządzenie i wydrukowanie raportu zawierającego w powszechnie zrozumiałej formie informacje, o których mowa w 7 ust. 1 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024), w terminie 3 miesięcy od dnia, w którym decyzja stanie się ostateczna. 4. Zastosowanie środków kryptograficznej ochrony wobec danych wykorzystywanych do uwierzytelnienia w procesie przypominania loginu oraz hasła do systemu epuap, które są przesyłane w sieci publicznej, w terminie 3 miesięcy od dnia, w którym decyzja stanie się ostateczna. Ponadto, decyzją z dnia 17 września 2014 r, nr DIS/DEC-913/14/72580, postępowanie zostało umorzone w zakresie nieprawidłowości usuniętych przez Ministra Administracji i Cyfryzacji w toku postępowania. W dniu 3 października 2014 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął, złożony w terminie, wniosek Podsekretarza Stanu w Ministerstwie Administracji i Cyfryzacji o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego 2

3 3/M Inspektora z dnia 17 września 2014 r., nr DIS/DEC-913/14/72580, w części pkt 1.1., 1.3. i 1.4 w zakresie dotyczącym wyznaczonego terminu do usunięcia przez Ministra Administracji i Cyfryzacji uchybień w procesie przetwarzania danych osobowych, poprzez uchylenie decyzji w zaskarżonej części i wyznaczenie Ministrowi Administracji i Cyfryzacji terminu roku od dnia, w którym decyzja Generalnego Inspektora stanie się ostateczna, do usunięcia wskazanych w pkt I.I., 1.3. i 1.4 decyzji uchybień. We wniosku o ponowne rozpatrzenie sprawy Podsekretarz Stanu w Ministerstwie Administracji i Cyfryzacji podniósł m.in., że: 1. W ramach realizacji projektu epuap2 prowadzone są prace w zakresie rozbudowy oprogramowania aplikacyjnego platformy epuap oraz wdrożenia produkcyjnego na rozbudowanej infrastrukturze technicznej, w ramach których zakłada się dostarczenie m.in. nowej formatki do zakładania konta na platformie epuap. Założenie konta przez użytkownika będzie wymagało podania innego niż obecnie zakresu danych, co będzie skutkowało również zmianą w tym zakresie aktualnie obowiązującego rozporządzenia Ministra Administracji i Cyfryzacji z dnia 6 maja 2014 r. w sprawie zakresu i warunków korzystania z elektronicznej platformy usług administracji publicznej (Dz. U. z 2014 r., poz. 584). Zasadnym jest zatem, aby zmiana zakresu danych podawanych przez użytkownika przy zakładaniu konta na epuap w formatce do założenia konta oraz ww. rozporządzenia zostały zrealizowane w jednym czasie i były ze sobą spójne. 2. Ponadto, w ramach realizacji projektu epuap2 prowadzone są prace związane z wydzieleniem profilu zaufanego epuap z infrastruktury systemu epuap. Rozwiązanie, które ma dostarczyć wykonawca w tym zakresie, ma być zgodne z przepisami o ochronie danych osobowych, w tym zapewnić usunięcie uchybień określonych w pkt 1.3. i 1.4 decyzji. Zatem nie jest zasadne realizowanie dodatkowych względem prowadzonych w projekcie epuap prac w tym zakresie, które z jednej strony generowałyby dodatkowy koszt, uwzględniony już w projekcie epuap, z drugiej natomiast zachodzi realne ryzyko, iż przygotowanie rozwiązania dla obecnej wersji systemu epuap mogłoby nie zakończyć się przed terminem wdrożenia nowego systemu epuap po modyfikacjach realizowanych w ramach projektu epuap2. / moi ina-w-ew in /hwskika <> «<-. 3. Termin wprowadzenia stosownych zmian w systemie determinowany jest zakończeniem prac w ramach projektu epuap2 (1 rok). Generalny Inspektor Ochrony Danych Osobowych zważył co następuje: 3

4 Wskazane przez Podsekretarza Stanu w Ministerstwie Administracji i Cyfryzacji we wniosku o ponowne rozpatrzenie sprawy okoliczności uzasadniające zmianę terminu wykonania nakazów zawartych w pkt I.I., 1.3. i 1.4 decyzji Generalnego Inspektorowi Ochrony Danych Osobowych z dnia 17 września 2014 r., nr DIS/DEC-913/14/72580, zasługują na uwzględnienie. W Ministerstwie Administracji i Cyfryzacji są bowiem aktualnie prowadzone prace nad projektem epuap2, którego realizacja ma zapewnić wykonanie nakazów zawartych w ww. decyzji Generalnego Inspektora. Za uwzględnieniem wniosku w ww. zakresie przemawia również podany czas zakończenia prac nad tym systemem (1 rok). W tym stanie prawnym i faktycznym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął jak w sentencji. Decyzja jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych w związku z art i art ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz z późn. zm.), od niniejszej decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia doręczenia niniejszej decyzji, za pośrednictwem Generalnego Inspektora Ochrony Danych Osobowych (na adres: ul. Stawki 2, Warszawa). W razie niewykonania decyzji w terminie zostanie wobec podmiotu zobowiązanego do jej wykonania wszczęte postępowanie egzekucyjne na podstawie przepisów ustawy z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji (Dz. U. z 2012 r., poz z późn. zm.). 4

5 3n. Otrzymują: 1. Minister Administracji i Cyfryzacji, ul. Królewska 27, Warszawa. 2. A/a. 5

6