>Decyzje Giodo>2003 >

Warszawa, dn. 1 kwietnia 2003 r.

(dotyczy zabezpieczenia danych osobowych w procesie ich przetwarzania przez ośrodki pomocy społecznej).

DECYZJA

Na podstawie art. 104 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 12 pkt 2 i art. 18 ust. 1 pkt 1 w związku z art. 36 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926), po przeprowadzeniu postępowania w sprawie udostępniania danych osobowych przez Ośrodek Pomocy Społecznej Gminy K., nakazuję

Ośrodkowi Pomocy Społecznej Gminy K. stworzenie procedur zapewniających ochronę danych osobowych udostępnianych ze zbiorów danych osobowych prowadzonych przez Ośrodek w celach związanych z prowadzeniem badań naukowych, w tym z przygotowaniem rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego.

UZASADNIENIE

W dniu 19 grudnia 2002 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pani M. – pełniącej wówczas funkcję p.o. Kierownika Ośrodka Pomocy Społecznej Gminy K., zwanego dalej Ośrodkiem, w której poinformowała, iż Pani T. – Kierownik ww. Ośrodka udostępniła dane osobowe podopiecznych i pracowników Ośrodka osobom nieupoważnionym. Z wyjaśnień Skarżącej wynika, że w dniu 15 listopada 2002 r. Pani T., pomimo tego, że przebywała na zwolnieniu lekarskim wydała pracownikowi Ośrodka polecenie służbowe nakazujące udostępnić Panu D. tzw. teczki socjalne. Pan D. miał przekazać powyższe teczki swej siostrze Pani E., która przygotowuje pracę dyplomową z zakresu pomocy społecznej. Teczki socjalne dokumentują rodzaj czynności dokonywanych przez pracowników socjalnych w zakresie pomocy społecznej i zawierały imiona i nazwiska osób będących pod opieką Ośrodka, adresy zamieszkania oraz informacje dotyczące ich sytuacji materialno-bytowej i rodzinnej, a także imiona i nazwiska pracowników socjalnych. W wyniku powyższego działania teczki socjalne wraz z zawartymi tam danymi osobowymi znalazły się poza Ośrodkiem, pozbawione jakiejkolwiek ochrony przed dostępem do nich osób nieupoważnionych.
Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:
Pomoc społeczna jest jednym z elementów zabezpieczenia społecznego pojmowanego jako system urządzeń i świadczeń służących zaspokojeniu usprawiedliwionych potrzeb obywateli, którzy utracili lub doznali ograniczenia zdolności do pracy, albo zostali obciążeni nadmiernie kosztami utrzymania rodziny. W myśl art. 1 ust. 1 ustawy z dnia 29 listopada 1990 r. o pomocy społecznej (Dz. U. z 1998 r. Nr 64, poz. 414 z późn. zm.) pomoc społeczna jest instytucją polityki społecznej państwa mającą na celu umożliwienie osobom i rodzinom przezwyciężanie trudnych sytuacji życiowych, których nie są one w stanie pokonać, wykorzystując własne środki, możliwości i uprawnienia. Jest więc ona stosowana wobec osób niezdolnych do samodzielnej egzystencji ze względu na stan zdrowia, czy inne zdarzenia losowe. Szczególną rolę zatem odgrywają ośrodki pomocy społecznej, gdyż to na nich spoczywa realizacja jednego z podstawowych obowiązków państwa – zaspokajanie niezbędnych potrzeb życiowych osób niezdolnych do samodzielnej egzystencji i ich rodzin w taki sposób, by mogły one żyć w warunkach odpowiadających godności człowieka.
Różnorodność nałożonych przez ustawodawcę na ośrodki pomocy społecznej zadań z zakresu pomocy społecznej sprawia, że gromadzą one niezwykle szeroki zakres danych osobowych. Dane osobowe dotyczące osób korzystających z pomocy społecznej (bądź o taką pomoc się ubiegających) i ich rodzin, należą do kategorii danych szczególnie ważnych dla ochrony prywatności każdego człowieka, dotyczą bowiem stanu zdrowia, sytuacji materialno?bytowej, nierzadko też nałogów i danych dotyczących skazań. Stąd też dla ich przetwarzania został przewidziany określony reżim i ochrona wynikająca z przepisów dwóch ustaw. Ustawa o pomocy społecznej w art. 36 ust. 2 wskazuje, że w postępowaniu w sprawie świadczeń pomocy społecznej należy kierować się przede wszystkim dobrem osób korzystających z pomocy społecznej i ochroną ich dóbr osobistych. W szczególności nie należy podawać do wiadomości publicznej nazwisk osób korzystających z pomocy społecznej oraz rodzaju i zakresu przyznanego świadczenia. Natomiast zgodnie z art. 27 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926), zwanej dalej także ustawą, zabrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. Dla legalności przetwarzania (m.in. udostępniania) tego rodzaju danych osób korzystających z pomocy społecznej (bądź o taką pomoc się ubiegających) i ich rodzin, nie wystarczy posiadanie przez administratora danych przesłanki dopuszczalności przetwarzania określonej w art. 23 ust. 1 ustawy, konieczne jest jeszcze zaistnienie, jednej z przesłanek enumeratywnie wymienionych w art. 27 ust. 2 ustawy. Zgodnie z art. 27 ust. 2 pkt 9 ustawy, przetwarzanie danych, o których mowa w ust. 1, jest jednak dopuszczalne, jeżeli jest to niezbędne do prowadzenia badań naukowych, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego; publikowanie wyników badań naukowych nie może następować w sposób umożliwiający identyfikację osób, których dane zostały przetworzone.
Przedstawione powyżej regulacje prawne jednoznacznie wskazują, że udostępnianie dokumentów i innych materiałów zawierających dane osobowe, nawet jeżeli są to dane szczególnie chronione, dla celów naukowych i badawczych, jest dopuszczalne i w pełni uzasadnione.
Wskazać należy, iż jednym z podstawowych obowiązków, jakie ustawa nałożyła na administratorów danych, jest obowiązek właściwego zabezpieczenia przetwarzanych danych, a więc zapewnienie rzeczywistej kontroli nad realizacją procesu przetwarzania danych przez osoby upoważnione. Stosownie bowiem do art. 36 ustawy administrator danych jest zobowiązany do zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy, zmianą, utratą, uszkodzeniem lub zniszczeniem. Ma to na celu zapewnienie bezpieczeństwa przetwarzanym danym i ograniczenie swobodnego ich przepływu. Udostępnienie Panu D. teczek prac socjalnych zawierających dane osobowe osób korzystających z pomocy społecznej (bądź się o nią ubiegających) i ich rodzin, uchybiło obowiązkowi przewidzianemu w art. 36 ustawy o ochronie danych osobowych i naraziło powyższe dane na ujawnienie osobom nieupoważnionym.
Ustawa wprawdzie nie określiła dokładnych sposobów realizacji obowiązku, o którym mowa w art. 36, pozostawiając tę kwestię do ustalenia przez samych administratorów danych, jednakże warunkiem jego należytego wypełnienia jest zabezpieczenie efektywne tzn. zastosowanie takich środków technicznych i organizacyjnych, które zapobiegną możliwości powstania naruszenia. Jednym z przejawów należytego wypełnienia obowiązku zabezpieczenia zbiorów danych jest prowadzenie przez administratora danych rzeczywistej kontroli nad realizacją procesu przetwarzania danych przez osoby upoważnione. Niewątpliwie przejawem sprawowania niniejszej kontroli byłoby istnienie stosownych procedur udostępniania dokumentacji zgromadzonej w Ośrodku. Przeprowadzone postępowanie administracyjne wykazało jednak, iż w Ośrodku nie ma żadnych procedur udostępniania dokumentów zawierających dane osobowe w celach związanych z prowadzeniem badań naukowych, w tym z przygotowaniem rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego, co w istocie narusza obowiązek przewidziany w art. 36 ustawy.
W opinii Generalnego Inspektora Ochrony Danych Osobowych, niezbędne jest zatem stworzenie w Ośrodku stosownych procedur zapewniających ochronę i bezpieczeństwo danych osobowych udostępnianych ze zbiorów prowadzonych przez Ośrodek w celach związanych z prowadzeniem badań naukowych, w tym z przygotowaniem rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego, w sposób zapewniający ochronę przetwarzanych tam danych osobowych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy, zmianą, utratą, uszkodzeniem lub zniszczeniem.
Administrator danych nie może w żadnym razie utracić kontroli nad procesem przetwarzania danych, w szczególności niedopuszczalne jest, by dokumenty zawierające dane osób korzystających z pomocy społecznej (bądź się o nią ubiegających) i ich rodzin, znajdowały się poza siedzibą ośrodka pomocy społecznej. Sytuacja powyższa prowadzi do tego, że administrator pozbawiony jest kontroli nad tym, gdzie dokumenty się znajdują, kto ma do nich dostęp i w jaki sposób są one wykorzystywane. Wskazane jest zatem, aby wszelkie dokumenty i inne materiały niezbędne dla celów naukowych bądź badawczych były udostępniane tylko osobie prowadzącej badania, wyłącznie na terenie Ośrodka, pod kontrolą upoważnionego do przetwarzania danych pracownika Ośrodka. W ten sposób możliwe jest bowiem zapewnienie właściwej ochrony przetwarzanych danych osobowych. Osoba prowadząca badania naukowe w celu przygotowania stosownej rozprawy, powinna być także zaznajamiana z przepisami o ochronie danych osobowych oraz pouczona o obowiązku wykorzystywania udostępnionych jej danych osobowych tylko w powyższym celu. Podkreślić należy, iż zgodnie z art. 39 ust. 2 ustawy, osoby zatrudnione przy przetwarzaniu, mające dostęp do danych osobowych, obowiązane są do zachowania ich w tajemnicy, także po ustaniu zatrudnienia. Podobny obowiązek przewiduje powoływany powyżej art. 36 ust. 2 ustawy o pomocy społecznej. Wskazane byłoby zatem, aby osoby które otrzymują materiały z danymi osób korzystających (bądź ubiegających się) o pomoc społeczną i ich rodzin, a nie są zatrudnione przy przetwarzaniu danych w Ośrodku, składały stosowne oświadczenie o zachowaniu powyższych danych w tajemnicy.
Należy przypuszczać, że gdyby w Ośrodku funkcjonowałyby uprzednio odpowiednie procedury zapewniające ochronę i bezpieczeństwo danych osobowych udostępnianych ze zbiorów prowadzonych przez Ośrodek w celach związanych z prowadzeniem badań naukowych, w tym z przygotowaniem rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego, teczki socjalne nie zostałyby wydane Panu D., a zawarte tam dane osobowe nie byłyby narażone na udostępnienie osobom nieupoważnionym, zabranie przez osobę nieuprawnioną, przetwarzanie z naruszeniem ustawy, zmianę, utratę, uszkodzenie lub zniszczenie.
W tym stanie faktycznym i prawnym, Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.
Decyzja niniejsza jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych, stronie niezadowolonej z niniejszej decyzji przysługuje, w terminie 14 dni od daty jej doręczenia, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy.