GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH dr Wojciech R. Wiewiórowski jólnaj 3 H; S p o t e C ^ M - j /-.nrodzkb 1/3 * i r 1 X»-l * P -HQ- tom. - p.4... UÄxxi a f Nr pisma. S f ^. ) DOLiS - 033-70/13/M Warszawa, dnia 2J"września 2013 r. Pan Władysław Kosiniak-Kamysz w ę z Minister Pracy i Polityki Społecznej ul. Nowogrodzka 1/3/5 00-513 Warszawa Hi/)>słfc nawiązując do pisma z dnia 17 września 2013 r. - znak: DRP-VIII-02100-20(2)-JJ/13 - odnoszącego się do uwag Generalnego Inspektora wobec projektu ustawy o zmianie ustawy o promocji zatrudnienia i instytucjach rynku pracy oraz niektórych innych ustaw, przedstawionych pisemnie, jak i podczas spotkania w dniu 12 września 2013 r., uprzejmie dziękuję za przedstawione wyjaśnienia i przesłaną propozycję projektu w wersji oznaczonej jako Projekt z dnia 17 września 2013 r. \ Generalny Inspektor wyraża aprobatę dla koncepcji wypracowania prawidłowych rozwiązań prawnych w zakresie rejestrów centralnych, oczekując, iż uwzględnią one postulaty przedstawiane w trakcie dotychczasowych prac nad projektem. Podkreślić należy, iż ich celem jest stworzenie właściwych podstaw prawnych funkcjonowania zbioru danych o charakterze centralnym i wyeliminowanie, sygnalizowanych już we wcześniejszej korespondencji, wątpliwości natury konstytucyjnej, których istnienia - zwłaszcza przy tworzeniu rejestru o tak rozległym zasięgu - nie można dopuścić. Doceniając zatem wolę Projektodawcy stworzenia właściwych konstrukcji prawnych, organ do spraw ochrony danych osobowych liczy na przedstawienie projektu przepisów, które będą gwarantowały należytą ochronę danych
osobowych przetwarzanych w owych rejestrach, tym bardziej że - wnioskując z dotychczas przedkładanych propozycji - mają się w nim znaleźć także dane szczególnie chronione. Jako pozytywną zmianę należy natomiast ocenić rezygnację z wprowadzania przepisów dotyczących przetwarzania, na poziomie województwa i powiatu, danych osobowych osób niezarejestrowanych w powiatowych urzędach pracy. Odnosząc się do propozycji określającej zakres udostępniania informacji o bezrobotnych i poszukujących pracy, podmiotom prowadzącym badania i analizy rynku pracy, stwierdzić trzeba, że nadal budzi ona wątpliwości. Należy wyraźnie podkreślić, że aby kryterium niezbędności dla realizacji zadań mogło zostać uznane za wystarczające określenie zakresu tego udostępniania na rzecz ww. podmiotów, to w pierwszej kolejności - z przepisów prawa - wynikać powinno, że podmioty te mają obowiązek wykonywania określonych zadań i w związku z tym musza one mieć dostęp do określonych informacji. Innymi słowy, to z regulacji ustawowej winno wynikać, że w celu skutecznego wykonywania obowiązków, wskazanej grupie podmiotów przysługuje prawo dostępu do informacji związanych z prywatnością osób fizycznych. Bez jednoznacznych, powszechnie obowiązujących norm w tym zakresie, niemożliwe jest przyjęcie, że podmiotom niepublicznym, a więc niezwiązanym zasadą legalizmu (art. 7 Konstytucji Rzeczypospolitej Polskiej, art. 6 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, tj. Dz. U. z 2013 r. poz. 267) - zobowiązującą do działania na podstawie i w granicach prawa - przyznane zostanie uprawnienie do dostępu do danych osobowych szerokiego kręgu osób fizycznych, i to danych o rozległym zakresie oraz szczególnie wrażliwym charakterze. Nasuwać się może wniosek wręcz przeciwny, tj. zakładający, że dla realizacji zadań oceny skuteczności udzielanej pomocy lub poprawy funkcjonowania publicznych służb zatrudnienia, wcale niekonieczne jest dysponowanie dostępem do danych osobowych, a wystarczyć mogą dane statystyczne. Ponadto w przypadku administratora danych, jakim są publiczne służby zatrudnienia, ustawodawca nie powinien dopuszczać do sytuacji, że o zakresie udostępniania na rzecz - określonych jedynie funkcjonalnie - podmiotów, administrator ten będzie każdorazowo rozstrzygał w umowie. Jeszcze raz podkreślić należy, że skoro publiczne służby zatrudnienia mają mieć możliwość zlecania przeprowadzenia określonych badań i analiz rynku pracy, to działanie owo powinno znajdować stosowne umocowanie w obowiązującym prawie i być traktowane jak realizacja zadania publicznego. W konsekwencji powyższego, o zakresie udostępnianych informacji również stanowić powinny przepisy prawa powszechnie obowiązującego. Przytoczyć można ponownie konstytucyjną zasadę, zgodnie z którą nikt nie 2
może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby (art. 51 ust. 1 Konstytucji Rzeczypospolitej Polskiej), czy normę obligującą do przetwarzania danych na podstawie przepisów rangi ustawowej, stwarzających pełne gwarancje ochrony - w odniesieniu do danych szczególnie chronionych, które również miałyby podlegać udostępnieniu (art. 27 ust. 2 pkt 2 ustawy o ochronie danych osobowych). Ponadto podnieść należy, że w związku z rezygnacją z uregulowania w przedłożonej wersji projektu, kwestii dotyczących rejestrów centralnych, organ do spraw ochrony danych osobowych nie posiada wiedzy na temat trybu udostępniania informacji z tychże rejestrów. Z projektu wynika natomiast, że zrezygnowano z trybu wnioskowego - jako podstawowego trybu udostępniania informacji, obowiązującego dotychczas przy udostępnianiu danych przez powiatowe urzędy pracy (art. 33 ust. 7 ustawy o promocji zatrudnienia i instytucjach rynku pracy) - i zamiast niego, w odniesieniu do udostępniania danych na poziomie zarówno województwa, jak i powiatu, zaproponowano dostęp on-line, a tryb wnioskowy przyjęto jako tryb awaryjny, wykorzystywany w przypadku braku możliwości realizacji tego pierwszego trybu (projektowany art. 8 ust. Id i ust. le oraz art. 33 ust. 8 i ust. 8a ustawy o promocji zatrudnienia i instytucjach rynku pracy). Tymczasem podkreślić trzeba, że w obowiązujących przepisach prawa dotyczących innych sektorów udostępnianie w trybie on-line dopuszczane jest co do zasady na rzecz wąskiego katalogu służb i organów publicznych, powołanych do realizacji szczególnych zadań. Jako przykład służyć może rozwiązanie zawarte w ustawie z dnia 6 kwietnia 1990 r. o Policji (Dz. U. z 2011 r. Nr 287, poz. 1687, z późn. zm.), dotyczące udostępniania Policji - w celu zapobiegania lub wykrywania przestępstw - danych telekomunikacyjnych przez podmiot prowadzących działalność telekomunikacyjną, który ma to uczynić nieodpłatnie: 1) policjantowi wskazanemu w pisemnym wniosku Komendanta Głównego Policji lub komendanta wojewódzkiego Policji albo osoby przez nich upoważnionej; 2) na ustne żądanie policjanta posiadającego pisemne upoważnienie osób, o których mowa w pkt 1; (art. 20c ust. 2 ustawy o Policji); dostęp w trzecim z tych trzecim trybie jest dopuszczony, jeśli wykorzystywane sieci telekomunikacyjne zapewniają: a) możliwość ustalenia osoby uzyskującej dane, ich rodzaju oraz czasu, w którym zostały uzyskane, b) zabezpieczenie techniczne i organizacyjne uniemożliwiające osobie nieuprawnionej dostęp do danych; oraz 2) jest to uzasadnione specyfika lub zakresem zadań wykonywanych przez jednostki organizacyjne Policji albo prowadzonych przez nie czynności. Analogiczne rozwiązanie jest przewidziane w przypadku Straży Granicznej i udostępniania na jej rzecz danych telekomunikacyjnych (art. lob ustawy z dnia 12 października 1990 r. o Straży Granicznej, 3
tj. Dz. U. z 2011 r. Nr 116, poz. 675, z późn. zm.). Także w ustawie z dnia 20 czerwca 1997 r. - Prawo o ruchu drogowym (Dz. U. z 2012 r. poz. 1137, z późn. zm.) ustawodawca podobnie określił tryb udostępniania danych lub informacji zgromadzonych w centralnej ewidencji pojazdów, wskazując pisemny, uzasadniony wniosek zainteresowanego podmiotu (art. 80c ust. 6 ustawy - Prawo o ruchu drogowym) jako zasadę, oraz dopuszczając teletransmisję danych za zgodą ministra właściwego do spraw wewnętrznych wyrażoną w drodze decyzji, bez konieczności składania pisemnego wniosku, jako wyjątek, po spełnieniu określonych w przepisie warunków (art. 80c ust. 7 ustawy - Prawo o ruchu drogowym); analogicznie w przypadku udostępniania danych z centralnej ewidencji kierowców, z tą różnicą, że regułą jest udostępnianie na pisemny umotywowany wniosek zainteresowanego podmiotu (art. looc ust. 4 i ust. 5 ustawy - Prawo o ruchu drogowym). W związku z powyższym, wskazać wypada, że przyznawanie dostępu on-line do zasobów informacyjnych gromadzonych przez publiczne służby zatrudnienia na poziomie województwa i powiatu, na rzecz szerokiego katalogu podmiotów, których nadto nie można jednoznacznie w chwili obecnej ustalić, nie zostało przez Projektodawcę wystarczająco uzasadnione. Jednocześnie, przedłożona propozycja budzi wątpliwości, które nie znajdują wyjaśnienia w materii przedłożonych przepisów. Pojawiają się w szczególności pytania: 1) W jaki sposób administrator danych, zezwalając na dostęp on-line, badałby, że dostęp do danych jest nadzorowany i rejestrowany zgodnie z przepisami o ochronie danych osobowych (projektowany art. 8 ust. lc pkt 3 i art. 33 ust. i art. 33 ust. 8 ustawy 0 promocji zatrudnienia i instytucjach rynku pracy)? Czy podmioty, na rzecz których następuje udostępnienie, są zobowiązane do wykazywania, że warunek ten jest spełniany? 2) Na jakie konkretnie podmioty Projektodawca nakłada obowiązek udostępniania danych? Z zaproponowanych przepisów nie wynika jasno, jakie podmioty miałyby być zobligowane do udostępniania danych z wykorzystaniem systemów teleinformatycznych. W projektowanych art. 8 ust. lc ustawy o promocji zatrudnienia 1 instytucjach rynku pracy mowa jest o udostępnianiu informacji w ten sposób, jeżeli wojewódzki urząd pracy oraz podmiot, o którym mowa w ust. lc spełnia łącznie następujące warunki (...). W przepisie, do którego czyni się odwołanie, mowa jest bowiem o różnych podmiotach, w tym o podmiotach prowadzących badania i analizy rynku pracy na zlecenie publicznych służb zatrudnienia w celu oceny skuteczności udzielanej pomocy lub poprawy ich funkcjonowania. A zatem nie wiadomo, czy projektowany przepis ustawy o promocji zatrudnienia i instytucjach rynku pracy należy 4
interpretować jako obligujący owe podmioty do udostępniania danych na rzecz innych instytucji, które mieszczą się w katalogu ww. podmiotów. Jednocześnie, poważne wątpliwości budzi, czy ustawa o promocji zatrudnienia i instytucjach rynku pracy powinna w ten sposób rozszerzać krąg podmiotów objętych obowiązkiem udostępniania. Pojawia się zatem pytanie, czy zaproponowana w niniejszym projekcie, koncepcja dostępu on-line - przyznawanego znacznemu i niemożliwemu do zdekodowania kręgowi podmiotów - została wystarczająco przemyślana. Natomiast jej odpowiednie wypracowanie ma kapitalne znaczenie również dlatego, że może ona w przyszłości posłużyć za wzór udostępniania danych z rejestru centralnego. W związku z wyjaśnieniami dotyczącymi profilowania osób bezrobotnych, podtrzymać należy uwagi dotychczas wyrażane przez Generalnego Inspektora. Po raz kolejny w wątpliwość poddać należy prawidłowość rozwiązania, które przewiduje pozbawienie statusu bezrobotnego osoby, która nie wyraziła zgody na określenie profilu pomocy (projektowany art. 33 ust. 4 pkt la ustawy o promocji zatrudnienia i instytucjach rynku pracy). Wymóg pozyskiwania zgody w sytuacji braku swobody jej wyrażenia, powodowanego nierównością obywatela i organu administracji publicznej, jawi się jako wątpliwe. Nie można bowiem konstrukcją zgody wypełniać luki w przepisach prawa, które powinny sankcjonować obowiązek poddania się określonym mechanizmom, pod warunkiem jednak, że mechanizmy te - ingerując w prywatność osób fizycznych - są w stanie sprostać testowi niezbędności w demokratycznym państwie prawnym. Nie kwestionując dążenia Projektodawcy do udoskonalenia działania systemu wsparcia w poszukiwaniu pracy za pomocą tego mechanizmu, przypomnieć jednak trzeba o jego złożoności (pismo z dnia 13 sierpnia 2013 r., znak: DOLiS-03370/13/MK/51620), stąd z uwagi na art. 31 i 51 Konstytucji Rzeczypospolitej Polskiej, takie kwestie, jak sposób tworzenia profili, ich transmisji pomiędzy bazami, retencji i usuwania powinny być dokładnie opisane w ustawie. Generalny Inspektor Ochrony Danych Osobowych docenia zmiany dokonane przez Projektodawcę wskutek dotychczas przeprowadzonych uzgodnień. Niemniej jednak, wskazuje, że podnoszone do tej pory wątpliwości odnosiły się do rejestrów centralnych. Usunięcie tego zagadnienia do kompleksowego uregulowania w późniejszym terminie jest przez organ do 5
spraw ochrony danych osobowych przyjmowane do wiadomości, nie oznacza jednak uzgodnienia projektu w tym zakresie. Oczekując przedstawienia projektu zawierającego odniesienie się do przedmiotowej materii, Generalny Inspektor podtrzymuje jednocześnie zainteresowanie w tym zakresie. i Ci n i ^ ^ 6