Sejm: Jak samorządy radzą sobie z wdrożeniem przepisów o RODO

Rejestry mieszkańców, monitoring wizyjny, zasoby BIP i stron internetowych urzędów – rok po wejściu w życie RODO Urząd Ochrony Danych Osobowych skontrolował, jak z ochroną danych w tych trzech sektorach radzą sobie samorządy. Ocena jest pozytywna, ale widać też problemy – ocenił w poniedziałek wiceprezes UODO Mirosław Sanek.

W poniedziałek w Sejmie odbyła się konferencja „Podsumowanie pierwszego roku obowiązywania RODO w jednostkach samorządu terytorialnego”. Zorganizowały ją: Komisja Samorządu Terytorialnego i Polityki Regionalnej, Urząd Ochrony Danych Osobowych oraz Narodowy Instytut Samorządu Terytorialnego.

„Kontrole uwidoczniły bardzo wiele dobrych praktyk, ale też pokazały jak wiele pracy jest jeszcze przed organami samorządu terytorialnego” – powiedziała PAP dyrektor Zespołu ds. Sektora Publicznego w UODO Monika Krasińska.

W sprawie rejestrów mieszkańców oceniła: „lekcja w znacznej mierze została odrobiona, choć stwierdzone zostały nieprawidłowości”. Na przykład nie zawsze jest w pełni dokumentowane udostępnianie danych osobowych z rejestru, nie zawsze są zawierane umowy powierzenia, gdy systemy są obsługiwane przez podmioty zewnętrzne, klauzule informacyjne nie zawsze były dostosowane do wymogów prawa.

„Lecz w międzyczasie i same przepisy prawa uległy zmianie” – zauważyła Monika Krasińska.

„Gminy – co jest pewnym novum w odniesieniu do tego, co miało miejsce jeszcze kilka tygodni temu – stały się de facto administratorem danych osobowych w związku z udostępnianiem danych z rejestru PESEL” – wskazała ekspert UODO.

„Tutaj najbardziej istotnym uchybieniem był brak dokonania oceny skutków dla ochrony danych osobowych” – zauważyła Monika Krasińska.

Przypomniała, że taka ocena jest konieczna w razie systemowego przetwarzania znacznej liczby danych osobowych i stosowania nowych technologii. W ocenie UODO, nie zawsze właściwie spełniane były też obowiązki informacyjne np. o zasadach prowadzenia monitoringu miejskiego.

„Brak tej informacji powoduje, że wzrasta liczba skarg kierowanych na sektor samorządu terytorialnego w tym zakresie” – powiedziała Monika Krasińska.

Dodała, że ważne zmiany dotyczące monitoringu miejskiego zaszły 6 lutego, kiedy straże gminne uzyskały status „zupełnie odrębnego administratora danych osobowych”.

„Próba umiejscowienia straży gminnych wraz z ich zadaniami w strukturze zarządzania danymi osobowymi musi być podjęta jak najszybciej” – mówiła Monika Krasińska.

W ocenie UODO, sytuacja w tej dziedzinie zaskoczyła samorządowców, bo przepisy nie zawierają wytycznych dotyczących okresu przechowywania danych w BIP-ach. Przez wiele lat uznawano, że informacja raz tam przekazana może trwać wieczyście, a nie jest to zgodne z przepisami o ochronie danych osobowych.

Podsumowując, Monika Krasińska oceniła, że RODO nie wprowadziło istotnej rewolucji związanej z ochroną danych osobowych w samorządach.

„Samorządy były przygotowane do wielu rozwiązań, choć rzeczywiście obserwujemy bardzo wiele nieprawidłowości” – powiedziała.

Kolejne kontrole UODO dotyczące przestrzegania RODO w JST będą dotyczyły m.in. stosowania przez gminy nowych technologii przy gospodarowaniu odpadami. Chodzi np. o technologię informatyczną do zarządzania odpadami – RFID, znakowanie wysypisk, monitoring związany z wywozem śmieci.

„Jesteśmy bardzo ciekawi jak te rozwiązania zostały przetestowane pod kątem ich zgodności z prawodawstwem dotyczącym ochrony prywatności” – mówi Monika Krasińska.

Duża część dyskusji podczas konferencji była poświęcona roli inspektora danych osobowych w jednostkach samorządu terytorialnego.

Monika Krasińska mówiła, że inspektor bywa traktowany – szczególnie w małych gminach o ograniczonym budżecie – jako „przeszkoda dla realizacji zadań, które muszą być zrealizowane”.

„Nie wszystkie samorządy właściwie umocowują IODO, nie zawsze on jest powoływany w sytuacjach nie tworzących pewnego konfliktu interesu i tutaj rzeczywiście samorządy muszą się bardzo głęboko zastanowić kto ma być powołany do pełnienia tej funkcji” – mówiła Monika Krasińska.

Dr Marcin Adamczyk z Narodowego Instytutu Samorządu Terytorialnego ocenił, że zapewne dopiero, gdy urząd nałoży pierwszą karę na jednostkę sektora finansów publicznych, zacznie się zastanawianie, czy „narozrabiał inspektor, czy to administrator nie uwzględnił sugestii inspektora”. Zauważył też, że w praktyce część inspektorów pochodzi „z łapanki”.

Dr Małgorzata Ganczar z KUL dodała, że często w samorządach nie tworzono stanowiska inspektora, ale dokładano jego obowiązki osobom już zatrudnionym.

Wiceprezes UDO zwrócił się do inspektorów: „Brońcie, walczcie o swój statut, opisany w ogólnym rozporządzeniu”.

„Brońcie swojej niezależności, rozwijajcie swoją fachowość, bo stanowicie środowisko, które z jednej strony wpływa na podniesienie świadomości społecznej, a z drugiej na rozwój i podniesienie kultury i ochrony danych w Polsce. Jesteście państwo niesłychanie ważnym środowiskiem, nasze starania idą państwu naprzeciw” – mówił Mirosław Sanek.

Samorządowców zapewniał: „Nie jesteście państwo sami”. Zachęcił, by w razie wątpliwości sięgać do wytycznych Europejskiej Rady Ochrony Danych, stanowisk prezesa UODO, poradników i kodeksów postępowania.

Podczas konferencji zapowiedziano, że w najbliższym czasie zostanie wydany poradnik instruujący, jak dbać o dane osobowe podczas transmisji na żywo z prac samorządowych organów kolegialnych.

PAP/RIRM