Generalny Inspektor Ochrony Danych Osobowych SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2011 Sprawozdanie stanowi wykonanie art. 20 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zgodnie z którym Generalny Inspektor Ochrony Danych Osobowych składa Sejmowi, raz w roku, sprawozdanie ze swojej działalności wraz z wnioskami wynikającymi ze stanu przestrzegania przepisów o ochronie danych osobowych 1. 1 Niniejsze Sprawozdanie obejmuje okres działalności Generalnego Inspektora Ochrony Danych Osobowych od 1 stycznia 2011 r. do 31 grudnia 2011 r.
SPIS TREŚCI Wprowadzenie. 5 Część I. Prawne podstawy działalności Generalnego Inspektora Ochrony Danych Osobowych 7 1. Informacje ogólne... 7 2. Biuro Generalnego Inspektora Ochrony Danych Osobowych 9 2.1. Struktura organizacyjna. 9 2.2. Pracownicy Biura GIODO. 10 2.3. Wykonanie budżetu Generalnego Inspektora Ochrony Danych Osobowych za 2011 rok. 11 Część II. Stan wiedzy i przestrzegania przepisów o ochronie danych osobowych 12 1. Informacje ogólne.. 12 2. Kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych.. 14 2.1. Czynności kontrolne... 14 2.2. Kontrola przetwarzania danych osobowych w wybranych obszarach... 15 1) Administracja publiczna.. 15 2) Bezpieczeństwo publiczne... 17 3) Banki i inne instytucje finansowe... 19 4) Służba zdrowia 21 5) Zatrudnienie... 24 6) Imprezy masowe organizowane na stadionach... 28 7) Telekomunikacja..... 30 8) Przedszkola..... 34 9) Inne 37 2.3. Systemy informatyczne służące do przetwarzania danych osobowych.. 42 2.4. Wyniki kontroli w zakresie wypełnienia obowiązków formalnych i organizacyjnych..... 43 2.5. Wyniki kontroli w zakresie warunków techniczno-organizacyjnych.. 46 3. Wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych 50 3.1. Wydawanie decyzji.. 50 3.2. Zawiadomienia o podejrzeniu popełnienia przestępstwa 51 2
3.3. Rozpatrywanie skarg... 53 4. Prowadzenie rejestru zbiorów danych osobowych oraz udzielanie informacji o zarejestrowanych zbiorach.. 78 5. Opiniowanie projektów ustaw i rozporządzeń dotyczących ochrony danych osobowych.. 90 6. Inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych. 140 6.1. Interpretacja przepisów. 141 6.1.1. Odpowiedzi na pytania traktujące o danych wrażliwych nt. zdrowia... 141 6.1.2. Przetwarzanie danych osobowych wybrane problemy..... 150 6.1.3. Wystąpienia... 160 6.2. Działalność informacyjna..... 177 6.2.1. Współpraca ze środkami masowego przekazu.. 178 6.2.2. Publikacje... 183 6.2.3. Szkolenia... 184 6.2.4. Konkursy... 186 6.2.5. Projekty i programy. 187 6.2.6. Konferencje, seminaria, spotkania. 190 6.2.7. Internet... 199 6.2.8. Porozumienia o współpracy... 200 6.2.8. Inne informacje.. 201 7. Uczestnictwo w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych... 202 7.1. Międzynarodowe spotkania i konferencje 208 7.2. Wizyty robocze. 215 7.3. Międzynarodowe warsztaty... 215 Część III. Część IV. Charakterystyka działalności Generalnego Inspektora Ochrony Danych Osobowych w 2011 roku 217 Wnioski i planowane kierunki działań Generalnego Inspektora Ochrony Danych Osobowych. 246 3
Załączniki Załącznik nr 1 Wykaz najważniejszych wystąpień Generalnego Inspektora Ochrony Danych Osobowych w roku 2011 o charakterze generalnym do centralnych organów państwa i do innych podmiotów sektora publicznego.... 260 Załącznik nr 2 Wykaz najważniejszych wystąpień Generalnego Inspektora Ochrony Danych Osobowych w roku 2011 do podmiotów prywatnych.... 263 Załącznik nr 3 Wykaz kontroli przeprowadzonych w 2011 roku.. 265 Załącznik nr 4 Wykaz orzeczeń Wojewódzkiego Sądu Administracyjnego w Warszawie i Naczelnego Sądu Administracyjnego wydanych w 2011 r. w sprawach prowadzonych przez Generalnego Inspektora Ochrony Danych Osobowych. 275 Załącznik nr 5 Informacje przekazane przez organy ścigania w sprawach skierowanych w 2011 roku przez Generalnego Inspektora Ochrony Danych Osobowych zawiadomień o popełnieniu przestępstwa 282 Załącznik nr 6 Wykaz szkoleń przeprowadzonych przez GIODO w 2011 r.... 283 Załącznik nr 7 Wykaz wydarzeń objętych patronatem GIODO w 2011 r.... 285 Załącznik nr 8 Wykaz konferencji, seminariów i spotkań krajowych i międzynarodowych z udziałem GIODO lub jego przedstawicieli, zorganizowanych w 2011 r. w Polsce przez Generalnego Inspektora Ochrony Danych Osobowych lub inne podmioty... 287 Załącznik nr 9 Wykaz konferencji, seminariów i spotkań międzynarodowych z udziałem GIODO lub jego przedstawicieli, które odbyły się w 2011 r. za granicą... 291 Załącznik nr 10 Wykaz decyzji i postanowień Generalnego Inspektora Ochrony Danych Osobowych wydanych w 2011 r. w sprawach o wyrażenie zgody na przekazanie danych osobowych za granicę... 293 4
SPRAWOZDANIE Z DZIAŁALNOŚCI GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH W ROKU 2011 Wprowadzenie Rok 2011, pierwszy pełny rok kalendarzowy działalności Generalnego Inspektora Ochrony Danych Osobowych IV kadencji, obfitował w ważne wydarzenia związane z ideą i misją organu ds. ochrony danych osobowych. Pierwszym z nich było wejście w życie z dniem 7 marca 2011 r. po prawie trzech latach intensywnych prac - znowelizowanej ustawy o ochronie danych osobowych. Pierwsze zmiany w ustawie o ochronie danych osobowych wprowadziła ustawa z dnia 5 sierpnia 2010 r. o ochronie informacji niejawnych (Dz. U. Nr 182, poz. 1228), obowiązująca od 2 stycznia 2011 r. Zmiany te dotyczyły rejestracji zbiorów, odmowy udostępnienia danych i obowiązku informacyjnego. Natomiast przepisy, które weszły w życie 7 marca 2011 r. przyznały Generalnemu Inspektorowi Ochrony Danych Osobowych uprawnienia organu egzekucyjnego w zakresie egzekucji administracyjnej obowiązków o charakterze niepieniężnym (art. 12 pkt 3), prawo kierowania do organów państwowych, organów samorządu terytorialnego, państwowych i komunalnych jednostek organizacyjnych, jak również innych jednostek organizacyjnych oraz do osób fizycznych i prawnych, wystąpień zmierzających do zapewnienia skutecznej ochrony danych osobowych, a także prawo występowania do właściwych organów z wnioskami o podjęcie inicjatywy ustawodawczej albo o wydanie bądź zmianę aktów prawnych w sprawach dotyczących ochrony danych osobowych. Podmioty, do których zostało skierowane przez GIODO wystąpienie lub wniosek będą zobowiązane ustosunkować się do nich w terminie 30 dni od daty jego otrzymania. Ponadto za udaremnianie lub utrudnianie wykonywania czynności kontrolnych przez inspektorów GIODO będzie groziła kara grzywny, ograniczenia wolności albo pozbawienia wolności do 2 lat. Nowe regulacje wprowadzone zostały ustawą z dnia 29 października 2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw (Dz. U. Nr 229, poz. 1497). Drugim ważnym wydarzeniem, którego uczestnikiem był organ ds. ochrony danych osobowych, było zakończenie w 2011 r. trwających ponad dwa lata konsultacji nad strategią poprawy skuteczności unijnych przepisów dotyczących ochrony danych, opracowaną przez Komisję Europejską. Strategia ta zakładała przemodelowanie istniejących na poziomie Unii Europejskiej ram prawnych w zakresie ochrony danych osobowych, tj. dyrektywy 95/46/WE o ochronie osób fizycznych w związku z przetwarzaniem danych osobowych oraz swobodnym przepływie tych danych, a także 5
podjęcie działań pozalegislacyjnych mających na celu skuteczniejszą ochronę danych osobowych w UE (np. poprzez wspieranie kampanii na rzecz podnoszenia świadomości w zakresie ochrony danych i korzystania z nich, jak również ewentualne inicjatywy w zakresie samoregulacji podejmowane przez sektor przemysłu). Planowane działania stanowiły odpowiedź na wyzwania związane z rozwojem nowoczesnych technologii informatycznych oraz procesami globalizacji, wymuszając niejako modernizację unijnej polityki ochrony danych osobowych w kierunku wzmocnienia praw jednostek, przy jednoczesnym zapewnieniu swobodnego przepływu danych w ramach jednolitego rynku UE poprzez znoszenie barier biurokratycznych. W wyniku tych prac przygotowany został pakiet zmian regulacji UE w zakresie ochrony danych osobowych. Wśród nich planowane jest zastąpienie dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych rozporządzeniem Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych. Rozporządzenie to obowiązywać będzie bezpośrednio w krajach członkowskich, bez potrzeby wydawania aktów prawnych wdrażających je do porządku krajowego. Dzięki jego wprowadzeniu nastąpiłaby pełna harmonizacja prawa materialnego w ramach UE i swobodnego przepływu tych danych. Natomiast nowością w polskim systemie prawnym będzie dyrektywa Parlamentu Europejskiego i Rady w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych przez właściwe organy w celu zapobiegania, dochodzenia, wykrywania lub ścigania przestępstw lub wykonywania sankcji karnych i swobodnego przepływu tych danych. Zasady zawarte w zaprezentowanym projekcie nie są obecne w istniejących dziś polskich przepisach prawa. Generalny Inspektor Ochrony Danych Osobowych jest konstytucyjnym organem do spraw ochrony danych osobowych i prawa do prywatności. Jego zadania i kompetencje wyznaczają przepisy ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.). W ich świetle GIODO jest uprawniony do: kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych, wydawania decyzji administracyjnych i rozpatrywania skarg w sprawach wykonania przepisów o ochronie danych osobowych, zapewnienia wykonania przez zobowiązanych obowiązków o charakterze niepieniężnym wynikających z wydanych decyzji, przez stosowanie środków egzekucyjnych przewidzianych w ustawie z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji (Dz. U. z 2005 r. Nr 229, poz. 1954 z późn. zm.), prowadzenia rejestru zbiorów danych oraz udzielania informacji o zarejestrowanych zbiorach, 6
opiniowania projektów ustaw i rozporządzeń dotyczących ochrony danych osobowych, inicjowania i podejmowania przedsięwzięć w zakresie doskonalenia ochrony danych osobowych, uczestniczenia w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych. W przypadku naruszenia przepisów o ochronie danych osobowych, Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: usunięcie uchybień, uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, wstrzymanie przekazywania danych osobowych do państwa trzeciego, zabezpieczenie danych lub przekazanie ich innym podmiotom, usunięcie danych osobowych. W razie stwierdzenia, że działanie lub zaniechanie kierownika jednostki organizacyjnej, jej pracownika lub innej osoby fizycznej będącej administratorem danych wyczerpuje znamiona przestępstwa określonego w ustawie, Generalny Inspektor kieruje do organu powołanego do ścigania przestępstw zawiadomienie o popełnieniu przestępstwa, dołączając dowody dokumentujące podejrzenie. Część I. Prawne podstawy działalności Generalnego Inspektora Ochrony Danych Osobowych 1. Informacje ogólne Podstawę prawną działania Generalnego Inspektora Ochrony Danych Osobowych (GIODO) stanowi ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) oraz wydane na jej podstawie akty wykonawcze rozporządzenia Ministra Spraw Wewnętrznych i Administracji: a) z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych wraz załącznikiem zawierającym opis środków bezpieczeństwa na poziomie podstawowym, podwyższonym i wysokim (Dz. U. Nr 100, poz. 1024), wydane na podstawie art. 39a ustawy. Rozporządzenie określa: sposób prowadzenia i zakres dokumentacji opisującej sposób przetwarzania danych osobowych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, 7
podstawowe warunki techniczne i organizacyjne, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, wymagania w zakresie odnotowywania udostępniania danych osobowych i bezpieczeństwa przetwarzania danych osobowych. b) z dnia 11 grudnia 2008 r. w sprawie wzoru zgłoszenia zbioru do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych (Dz. U. Nr 229, poz. 1536) wydane na podstawie art. 46a ustawy określa wzór zgłoszenia, który jest załącznikiem do tego rozporządzenia, c) z dnia 22 kwietnia 2004 r. w sprawie wzorów imiennego upoważnienia i legitymacji służbowej inspektora Biura Generalnego Inspektora Ochrony Danych Osobowych (Dz. U. Nr 94, poz. 923) wydane na podstawie art. 22a ustawy określa wzory, o których mówi to rozporządzenie, d) rozporządzenie Prezydenta Rzeczypospolitej Polskiej z dnia 10 października 2011 r. w sprawie nadania statutu Biuru Generalnego Inspektora Ochrony Danych Osobowych (Dz. U. z 2011 r. Nr 225, poz. 1350). Rozporządzenie to było poprzedzone rozporządzeniem Prezydenta Rzeczypospolitej Polskiej z dnia 3 listopada 2006 r. w sprawie nadania statutu Biuru Generalnego Inspektora Ochrony Danych Osobowych (Dz. U. Nr 203, poz. 1494), które utraciło moc z dniem 7 marca 2011 r. na podstawie art. 1 pkt 3 lit. B ustawy z dnia 29 października 2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw (Dz. U. Nr 229, poz. 1497). Ustawą z dnia 29 października 2010 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw (Dz. U. Nr 229, poz. 1497) wprowadzone zostały zmiany w przepisach dotychczas obowiązującej ustawy, które weszły w życie z dniem 7 marca 2011 r. Nowelizacja ustawy była również częścią procesu implementacji unijnej dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych (Dz. Urz. UE L 281 z 23 listopada 1995 r. s. 31 z późn. zm.) 2. Unijne przepisy z zakresu ochrony danych osobowych, w tym ww. dyrektywa 95/46/WE, służą ochronie podstawowych praw i wolności osób fizycznych, w szczególności prawa do ochrony danych oraz swobodnego ich przepływu. Ta ogólna dyrektywa została uzupełniona innymi instrumentami prawnymi, takimi jak np. dyrektywą 2002/58/WE o prywatności i łączności elektronicznej. Istnieją poza tym przepisy szczególne dotyczące ochrony danych osobowych przetwarzanych w ramach współpracy policji i wymiaru sprawiedliwości w sprawach karnych (np. decyzja ramowa 2008/977/WSiSW). Prawo do ochrony danych osobowych zostało jednoznacznie uznane jako jedno z praw podstawowych w art. 8 Karty Praw Podstawowych Unii Europejskiej oraz w Traktacie 2 Więcej na ten temat będzie mowa w dalszej części niniejszego Sprawozdania. 8
Lizbońskim. Art. 16 Traktatu stanowi podstawę prawną dla przepisów o ochronie danych osobowych odnośnie do wszystkich działań w ramach prawa UE. Podkreślenia wymaga również, że na system ochrony danych osobowych składają się też przepisy szczególne innych ustaw, które regulują kwestie związane z przetwarzaniem danych osobowych przez różne podmioty. Podmioty publiczne, w myśl zasady praworządności wyrażonej w art. 7 Konstytucji Rzeczypospolitej Polskiej, działają wyłącznie na podstawie i w granicach prawa. Oznacza to, że mogą one przetwarzać dane osobowe jedynie wtedy, gdy służy to wypełnieniu określonych prawem zadań, obowiązków i upoważnień. 2. Biuro Generalnego Inspektora Ochrony Danych Osobowych 2.1 Struktura organizacyjna Zgodnie z art. 13 ust. 1 ustawy o ochronie danych osobowych, Generalny Inspektor wykonuje swoje zadania przy pomocy Biura Generalnego Inspektora Ochrony Danych Osobowych. W przypadkach uzasadnionych charakterem i liczbą spraw z zakresu ochrony danych osobowych na danym terenie, może wykonywać swoje zadania przy pomocy jednostek zamiejscowych. Tryb pracy Biura, a także organizację wewnętrzną i szczegółowy zakres zadań statutowych jednostek organizacyjnych oraz jednostek zamiejscowych Biura określa Generalny Inspektor w Regulaminie Organizacyjnym. Prezydent Rzeczypospolitej Polskiej, po zasięgnięciu opinii Generalnego Inspektora, w drodze rozporządzenia nadaje statut Biuru, określając jego organizację, zasady działania, siedziby jednostek zamiejscowych oraz zakres ich właściwości terytorialnej, mając na uwadze stworzenie optymalnych warunków organizacyjnych do prawidłowej realizacji zadań Biura. Organizacja oraz zasady działania Biura określone zostały w statucie stanowiącym załącznik do rozporządzenia Prezydenta Rzeczypospolitej Polskiej z dnia 10 października 2011 r. w sprawie nadania statutu Biuru Generalnego Inspektora Ochrony Danych Osobowych (Dz. U. 2011, Nr 225, poz. 1350). Na mocy tego aktu powołano nową jednostkę organizacyjną Biura GIODO Zespół do Spraw Egzekucji Administracyjnej (ZEA), a także ustalone zostały siedziby oraz właściwość miejscowa jednostek zamiejscowych: 1) Jednostka Zamiejscowa Biura Ochrony Danych Osobowych w Katowicach, obejmująca obszar województwa śląskiego, opolskiego, dolnośląskiego, małopolskiego i podkarpackiego; 2) Jednostka Zamiejscowa Biura Ochrony Danych Osobowych w Gdańsku, obejmująca obszar województwa pomorskiego, warmińsko-mazurskiego i zachodniopomorskiego. Strukturę organizacyjną Biura Generalnego Inspektora Ochrony Danych Osobowych przedstawia poniższy schemat: 9
GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH ZASTĘPCA GENERALNEGO INSPEKTORA OCHRONY DANYCH OSOBOWYCH DYREKTOR BIURA GIODO Departament Orzecznictwa, Legislacji i Skarg Dział Finansowy Zespół Rzecznika Prasowego Departament Rejestracji Zbiorów Danych Osobowych Departament Inspekcji Departament Edukacji Społecznej i Współpracy Międzynarodowej Zespół do Spraw Egzekucji Administracyjnej Samodzielne Stanowisko do Spraw Pracowniczych Samodzielne Stanowisko do Spraw Audytu Wewnętrznego Samodzielne Stanowisko do Spraw Ochrony Informacji Niejawnych Departament Informatyki Departament Organizacyjno- Administracyjny Struktura Biura Generalnego Inspektora Ochrony Danych Osobowych stan na dzień składania Sprawozdania Generalny Inspektor wykonuje swoje zadania bezpośrednio lub przy pomocy Dyrektora Biura, dyrektorów jednostek organizacyjnych Biura oraz innych osób wskazanych w Regulaminie Organizacyjnym. 3 2.2. Pracownicy Biura GIODO Stan zatrudnienia w Biurze GIODO w przeliczeniu na pełne etaty wynosił na dzień 1 stycznia 2011 r. 126,9 etatów, zaś na dzień 31 grudnia 2011 r. 126,5 etatów. Na stanowiskach merytorycznych zatrudnionych było 111 osób, a na stanowiskach pomocniczych 20 osób. Wyższe wykształcenie posiadało 116 pracowników, w tym 76 legitymowało się wykształceniem wyższym prawniczym. Liczba pracowników zatrudnionych w poszczególnych jednostkach organizacyjnych Biura GIODO na koniec 2011 r. przedstawia się następująco: - GIODO - 1 osoba - Zastępca GIODO 1 osoba - Dyrektor Biura 1 osoba - Zespół Rzecznika Prasowego (ZRP) 5 osób 3 Zarządzenie Nr 1/2012 Generalnego Inspektora Ochrony Danych Osobowych z dnia 04 stycznia 2012 r. w sprawie wprowadzenia Regulaminu Organizacyjnego Biura Generalnego Inspektora Ochrony Danych Osobowych. 10
- Departament Edukacji Społecznej i Współpracy Międzynarodowej (DESiWM) 10 osób - Departament Informatyki (DIF) 15 osób, - Departament Inspekcji (DIS) 18 osób, - Departament Orzecznictwa, Legislacji i Skarg (DOLiS) 34 osoby, - Departament Rejestracji Zbiorów Danych Osobowych (DRZDO) 17 osób, - Departament Organizacyjno-Administracyjny (DOA) 17 osób, - Dział Finansowy 3 osoby - Samodzielne Stanowisko ds. Ochrony Informacji Niejawnych 2 osoby - Samodzielne Stanowisko ds. Pracowniczych 2 osoby - Samodzielne Stanowisko ds. Audytu 1 osoba - Radcy Prawni 2 osoby Przedstawiona powyżej struktura zatrudnienia pracowników w poszczególnych jednostkach organizacyjnych Biura GIODO dotyczy stanu z dnia 31 grudnia 2011 r. Z uwagi na to, że nowy Regulamin Organizacyjny Biura Generalnego Inspektora Ochrony Danych Osobowych stanowiący załącznik nr 1 do Zarządzenia Nr 1/2012 wszedł w życie z dniem 4 stycznia 2012 r. 4, nie ma w niej wyodrębnionej nowej jednostki organizacyjnej Zespołu do Spraw Egzekucji Administracyjnej (ZEA). Obecny stan zatrudnienia w Biurze Generalnego Inspektora Ochrony Danych Osobowych umożliwia realizowanie zadań powierzonych ustawowo, lecz zauważalny wzrost liczby prowadzonych spraw powoduje, że mimo podwyższenia w znaczącym stopniu sprawności prowadzenia postępowań, w najbliższym czasie muszą nastąpić opóźnienia w wydawaniu decyzji i postanowień oraz w wykonywaniu działań materialno-technicznych. Należy bowiem zwrócić uwagę, że przy braku wzrostu zatrudnienia w Biurze w ostatnim roku: - o 50 % wzrosła liczba wydanych decyzji w postępowaniach zainicjowanych skargami (z 359 w 2010 r. do 539 w 2011 r.), - o 11 % wzrosła liczba zgłoszonych skarg w ostatnim roku (z 1114 w 2010 r. do 1271 w 2011 r.) i o 59 % w ciągu ostatnich 5 lat (z 796 w 2007 r.) 4 Z tym dniem straciło moc Zarządzenie Nr 29/2007 Generalnego Inspektora Ochrony Danych Osobowych z dnia 14 września 2007 r. w sprawie wprowadzenia Regulaminu Organizacyjnego Biura Generalnego Inspektora Ochrony Danych Osobowych. 11
- o 89 % wzrosła liczba zbiorów zgłoszonych do rejestracji (z 8260 w 2010 r. do 15.643 w 2011 r.), a w ciągu ostatnich 5 lat nastąpił ponad trzykrotny wzrost liczby zgłaszanych rocznie zbiorów (z 4850 w 2007 r. 5 ). Poważnym problemem dla Biura jest również fakt, że brak możliwości motywowania najlepszych pracowników zmianami w wynagrodzeniu powoduje stały odpływ najlepszych urzędników w szczególności prawników i informatyków do sektora prywatnego z chęcią korzystającego z dobrze wykształconych pracowników zajmujących się newralgiczną dziedziną jaką jest bezpieczeństwo informacyjne. 2.3. Wykonanie budżetu Generalnego Inspektora Ochrony Danych Osobowych za 2011 rok Budżet Generalnego Inspektora ustalony w ustawie budżetowej na 2011 r. wynosił: 14 700 tys. zł, w tym: wynagrodzenia i pochodnie od wynagrodzeń 10 764 tys. zł wydatki majątkowe 400 tys. zł pozostałe wydatki 3 536 tys. zł Wydatki zrealizowane przez GIODO w 2011 roku w kwocie 14 435 tys. zł obejmowały: wynagrodzenia i pochodne od wynagrodzeń 10 729 tys. zł wydatki majątkowe 399 tys. zł pozostałe wydatki 3 307 tys. zł Część II. Stan wiedzy i przestrzegania przepisów o ochronie danych osobowych 1. Informacje ogólne Ustawa o ochronie danych osobowych wprowadza szczegółowe normy służące realizacji prawa do ochrony danych osobowych. Reguluje postępowanie przy przetwarzaniu danych osobowych, czyli operacjach, takich jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie danych osobowych, zdefiniowanych jako wszelkie informacje dotyczące osoby fizycznej, pozwalające bez większego wysiłku na określenie tożsamości tej osoby. Danymi 5 O tym, że podjęto w Biurze GIODO zmiany organizacyjne, które usprawniły rozpatrywanie spraw swiadczyć może natomiast fakt, że liczba rejestrowanych rocznie zbiorów wzrosła w tym samym okresie z 2598 w 2007 r. do 11.845 w 2011 r. - wzrost o 356 %). 12
osobowymi nie będą jednak pojedyncze informacje o dużym stopniu ogólności. Staną się nimi dopiero z chwilą zestawienia ich z innymi, dodatkowymi informacjami, które w konsekwencji pozwolą na odniesienie ich do konkretnej osoby. Możliwa do zidentyfikowania jest więc taka osoba, której tożsamość można określić bezpośrednio lub pośrednio, zwłaszcza poprzez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań. Główne zasady postępowania przy przetwarzaniu danych osobowych wyznacza art. 26 ust. 1 ustawy, ujmując je w formę podstawowych obowiązków administratora danych 6. Z jego treści wynika, że administrator danych powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a co za tym idzie, ma on przestrzegać wskazanych poniżej zasad: 1) legalności dane mogą być przetwarzane tylko na podstawie przepisów prawa, 2) celowości dane powinny być zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu, jeśli jest to niezgodne z tymi celami, 3) merytorycznej poprawności dane powinny być merytorycznie poprawne, 4) adekwatności dane powinny być adekwatne w stosunku do celów, w jakich są przetwarzane, 5) ograniczenia czasowego dane w postaci umożliwiającej identyfikację osób, których dotyczą, nie mogą być przetwarzane dłużej, niż jest to niezbędne do osiągnięcia celu, dla którego zostały zebrane. Ustawa daje obywatelom możliwość skorzystania z prawa do formalnej kontroli przetwarzania dotyczących ich danych, które ustanowione jest w rozdziale 4 ustawy. Mogą oni domagać się również: uzyskania informacji, czy zbiór danych istnieje, ustalenia administratora danych, adresu jego siedziby, uzyskania informacji o celu, zakresie i sposobie przetwarzania danych oraz informacji o źródle, z którego pochodzą, żądania uzupełnienia, uaktualnienia, sprostowania, a nawet czasowego lub stałego wstrzymania przetwarzania danych, jeżeli są one nieaktualne, niekompletne, nieprawdziwe lub zostały zebrane z naruszeniem prawa albo są już zbędne do realizacji celu, dla którego były zebrane. Ustawa przyznaje obywatelom także prawo do sprzeciwu, gdy administrator przetwarza dane w celach innych niż te, dla których były zbierane lub przekazuje je innemu administratorowi danych. W takiej sytuacji przysługuje im prawo żądania od administratora danych odpowiedniego zachowania się w przypadku nieprzestrzegania ustawy, a także prawo występowania do Generalnego Inspektora Ochrony Danych 6 Administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba decydująca o celach i środkach przetwarzania danych (art. 7 pkt 4 ustawy o ochronie danych osobowych). Między innymi może to być organ państwowy, organ samorządu terytorialnego lub państwowa albo komunalna jednostka organizacyjna. 13
Osobowych, organów ścigania oraz wymiaru sprawiedliwości w sprawach naruszenia przepisów o ochronie danych osobowych. Reasumując, ustawa o ochronie danych osobowych konkretyzuje prawa obywateli do ochrony dotyczących ich danych osobowych oraz ustanawia instrumenty umożliwiające realizację tego prawa. Nad przestrzeganiem prawa obywateli do ochrony ich danych osobowych czuwa niezależny organ Generalny Inspektor Ochrony Danych Osobowych. Postępowanie w sprawach uregulowanych w ustawie o ochronie danych osobowych prowadzi się według zasad określonych w przepisach Kodeksu postępowania administracyjnego (K.p.a.), o ile przepisy ustawy o ochronie danych osobowych nie stanowią inaczej (art. 22 ustawy). Jak już była o tym mowa, zgodnie z brzmieniem art. 12 ustawy Generalny Inspektor w szczególności kontroluje zgodność przetwarzania danych z przepisami o ochronie danych osobowych, wydaje decyzje administracyjne i rozpatruje skargi w sprawach wykonania przepisów o ochronie danych osobowych, zapewnia wykonanie przez zobowiązanych obowiązków o charakterze niepieniężnym wynikających z decyzji przez stosowanie przewidzianych przepisami prawa środków egzekucyjnych określonych w ustawie o postępowaniu egzekucyjnym w administracji (Dz. U. z 2005 r. Nr 229, poz. 1954 z późn. zm.), prowadzi ogólnokrajowy, jawny rejestr zbiorów danych oraz udziela informacji o zarejestrowanych zbiorach, opiniuje projekty ustaw i rozporządzeń dotyczących ochrony danych osobowych, inicjuje i podejmuje przedsięwzięcia w zakresie doskonalenia ochrony danych osobowych, a także uczestniczy w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych. Należy podkreślić, że wśród wymienionych zadań GIODO wynikających z art. 12 nowością są te dotyczące spraw egzekucji administracyjnej. Wskutek wspomnianej wcześniej nowelizacji ustawy o ochronie danych osobowych, Generalny Inspektor wykonuje zadania związane z wszczynaniem i prowadzeniem postępowań egzekucyjnych o charakterze niepieniężnym, oraz zadania związane z wszczynaniem i monitorowaniem postępowań egzekucyjnych o charakterze pieniężnym przy realizacji których współpracuje w tym zakresie z naczelnikami urzędów skarbowych. 2. Kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych 2.1. Czynności kontrolne Czynności kontrolne, których celem jest ustalenie, czy jednostka kontrolowana przetwarza dane zgodnie z przepisami o ochronie danych osobowych, przeprowadzane są na podstawie art. 12 pkt 1 i art. 14 ustawy o ochronie danych osobowych. W art. 14 ustawy wymienione zostały uprawnienia 14
przysługujące Generalnemu Inspektorowi Ochrony Danych Osobowych, Zastępcy Generalnego Inspektora Ochrony Danych Osobowych oraz upoważnionym inspektorom w związku z realizacją zadania określonego w art. 12 pkt 1 powołanej ustawy. Uprawnienia te obejmują w szczególności prawo wstępu, w godzinach od 6.00 do 22.00, do pomieszczenia, w którym zlokalizowany jest zbiór danych oraz pomieszczenia, w którym przetwarzane są dane poza zbiorem danych, i przeprowadzenia niezbędnych badań lub innych czynności kontrolnych w celu oceny zgodności przetwarzania danych z ustawą, żądania złożenia pisemnych lub ustnych wyjaśnień oraz wzywania i przesłuchiwania osób w zakresie niezbędnym do ustalenia stanu faktycznego, wglądu do wszelkich dokumentów i wszelkich danych mających bezpośredni związek z przedmiotem kontroli oraz sporządzania ich kopii, przeprowadzania oględzin urządzeń, nośników oraz systemów informatycznych służących do przetwarzania danych, a także zlecania sporządzania ekspertyz i opinii. Wymienionym uprawnieniom towarzyszy obowiązek kierownika jednostki kontrolowanej oraz osoby fizycznej będącej administratorem danych, umożliwienia inspektorom dokonania tych czynności (art. 15 ust. 1 ustawy o ochronie danych osobowych). Przeprowadzane w toku kontroli czynności (odbieranie wyjaśnień od kierownictwa i pracowników kontrolowanej jednostki, oględziny) są dokumentowane w formie protokołów przyjęcia ustnych wyjaśnień, protokołów przesłuchania w charakterze świadka oraz protokołów oględzin miejsca, pomieszczeń, dokumentów, urządzeń, nośników, systemów informatycznych służących do przetwarzania danych osobowych. Na podstawie ustaleń zawartych w ww. protokołach, analizy dokumentów przedłożonych w toku kontroli (stanowiących w szczególności uchwały i zarządzenia organów reprezentujących jednostkę kontrolowaną, regulaminy, instrukcje i procedury określające zasady przetwarzania danych osobowych, zawarte umowy, w tym umowy powierzenia przetwarzania danych osobowych oraz opracowane formularze i kwestionariusze) oraz wydruków z systemów informatycznych służących do przetwarzania danych osobowych, sporządzany jest protokół kontroli. Podpisany przez inspektorów, którzy kontrolę przeprowadzili, protokół kontroli przedstawiany jest następnie do podpisu kierownikowi jednostki kontrolowanej, który zgodnie z art. 16 ust. 2 ustawy o ochronie danych osobowych może wnieść do niego umotywowane zastrzeżenia i uwagi. W zależności od ustaleń poczynionych w toku kontroli, tzn. czy stwierdzone zostały nieprawidłowości w procesie przetwarzania danych osobowych, wszczynane jest postępowanie administracyjne lub kierowane jest do jednostki kontrolowanej pismo z informacją, że w zakresie objętym kontrolą nie stwierdzono uchybień. Ponadto w przypadku stwierdzenia, że działanie lub zaniechanie kierownika jednostki kontrolowanej lub jej pracownika wyczerpuje znamiona przestępstwa określonego w ustawie o ochronie danych osobowych, do organu powołanego do ścigania przestępstw kierowane jest zawiadomienie o popełnieniu przestępstwa. Ustalenia kontrolne mogą także uzasadniać żądanie wszczęcia postępowania dyscyplinarnego przeciwko osobom winnym dopuszczenia do uchybień. 15