Przepisy nie precyzują okresu udostępniania – ani minimalnego, ani i maksymalnego. Nie powoduje to jednak, że informacje takie mogą w Biuletynie Informacji Publicznej widnieć bezterminowo.
Przepisy często wskazują, jakie informacje należy umieścić w BIP, [ramka] ale nie precyzują, przez jaki okres je przechowywać ani w jakim trybie. Nie wskazują też, kiedy dane z BIP usunąć. Problem okazuje się skomplikowany na gruncie RODO, a zwłaszcza jego art. 86, który nakazuje godzić dostęp do informacji publicznej oraz ponowne wykorzystywanie informacji sektora publicznego z prawem do ochrony danych osobowych. W efekcie podmiot zobowiązany do udostępnienia informacji w BIP musi przestrzegać wszystkich reguł dotyczących przetwarzania danych.
Co trzeba podać wszystkim do wiadomości
Obowiązek udostępniania w Biuletynie Informacji Publicznych dotyczy w szczególności informacji o:
• statusie prawnym lub formie prawnej organizacji,
• przedmiocie działalności i kompetencjach,
• organach i osobach sprawujących w nich funkcje i ich kompetencjach,
• strukturze własnościowej i majątku, którym dysponuje,
• zasadach funkcjonowania, w tym o trybie działania,
• sposobach stanowienia aktów publicznoprawnych,
• sposobach przyjmowania i załatwiania spraw,
• stanie przyjmowanych spraw, kolejności ich załatwiania lub rozstrzygania,
• prowadzonych rejestrach, ewidencjach i archiwach oraz o sposobach i zasadach udostępniania danych w nich zawartych,
• naborze kandydatów do zatrudnienia na wolne stanowiska, w zakresie określonym w przepisach odrębnych,
• treści i postaci dokumentów urzędowych (akty administracyjne i inne rozstrzygnięcia, dokumentacja przebiegu i efektów kontroli oraz wystąpienia, stanowiska, wnioski i opinie podmiotów ją przeprowadzających, treść innych wystąpień i ocen dokonywanych przez organy władzy publicznej),
• majątku publicznym,
• sposobie dostępu do informacji publicznych będących w posiadaniu jednostki, które nie zostały udostępnione w BIP.
Jak zaprojektować skuteczną ochronę danych osobowych
Jak zaprojektować skuteczną ochronę danych osobowych

Zobacz również
Prowadzenie BIP jest dla organów administracji publicznej obowiązkowe, z kolei umieszczanie w nich informacji, według RODO, stanowi albo wprost określony w przepisach obowiązek, albo może być potraktowane jako realizowanie zadania w interesie publicznym. Głównym kłopotem jest tu dokonanie jednoznacznej oceny celów przetwarzania danych i tego, kiedy zostaną one osiągnięte. Bo gdy to się stanie, trzeba dane z BIP usunąć. O to właśnie chodziło w sprawie Aleksandrowa Kujawskiego zakończonej nałożeniem przez prezesa Urzędu Ochrony Danych Osobowych na Urząd Miasta kary pieniężnej 40 tys. zł (decyzja z 18 października 2019 r., nr ZSPU.421.3.2019, utrzymana w mocy wyrokiem Wojewódzkiego Sądu Administracyjnego w Warszawie z 26 sierpnia 2020 r., sygn. akt II SA/Wa 2826/19). Mimo iż orzeczenia te odbiły się szerokim echem, dla samorządów nadal nie jest jasne, jak długo można przetwarzać dane osobowe w BIP, m.in. jak długo publikować w nim oświadczenia majątkowe czy informacje o wynikach naboru. W tej sprawie urzędy są pozostawione same sobie i cały czas, w jakiejś mierze, zagrożone błędem w ustaleniach lub odmienną oceną organu nadzorczego, a w konsekwencji także karą pieniężną.

Dostęp do informacji publicznej

Każda informacja o sprawach publicznych stanowi informację publiczną i podlega udostępnieniu na zasadach określonych w ustawie o dostępie do informacji publicznej (dalej: u.d.i.p.). Definicja ustawowa jest bardzo szeroka, ale oczywiste pozostaje, że bardzo często obejmuje dane osobowe – osób pełniących funkcje publiczne, ale też innych osób fizycznych. Możemy się o tym przekonać po lekturze art. 6 ust. 1 u.d.i.p., który zawiera przykładowy katalog udostępnianych informacji publicznych. Dodatkowo wprost w przepisach wskazuje się, że określone informacje podlegają udostępnieniu – także te obejmujące swą treścią dane osobowe, jak wskazane oświadczenia majątkowe czy wyniki naborów na stanowiska urzędnicze.
Udostępnianie informacji publicznych w BIP stanowi podstawową formę realizacji dostępu, przy czym może on następować także w drodze:
  • udostępniania na wniosek,
  • udostępniania w drodze wyłożenia lub wywieszenia w miejscach ogólnie dostępnych,
  • udostępniania przez urządzenia umożliwiające zapoznanie się z informacją,
  • wstępu na posiedzenia kolegialnych organów władzy publicznej,
  • udostępniania materiałów, w tym audiowizualnych i teleinformatycznych, dokumentujących te posiedzenia,
  • udostępniania w centralnym repozytorium.
6 lat przechowuje się oświadczenia majątkowe; termin ten dotyczy zarówno oświadczeń złożonych przez osoby, które przestały już pełnić swoją funkcję, jak i przez tych, którzy nadal ją sprawują, ale z uwagi na powołanie na kolejną kadencję, musieli złożyć nowe
Celem udostępniania takich informacji jest zapewnienie jawności działania organów władz publicznych, osób pełniących funkcje publiczne, organów samorządu gospodarczego i zawodowego, a także innych osób oraz jednostek organizacyjnych w zakresie, w jakim wykonują one zadania władzy publicznej i gospodarują mieniem komunalnym lub majątkiem Skarbu Państwa (art. 61 Konstytucji RP). Nie wydaje się, aby ten cel był ograniczony w czasie, ale ze wskazanej wyżej decyzji prezesa UODO oraz wyroku WSA w Warszawie wynika, że z ograniczeniem takim mamy jednak do czynienia. Do podobnego wniosku prowadzi także lektura art. 5 RODO. Administrator, zgodnie z zasadą ograniczonego przechowywania, wynikającą z art. 5 ust. 1 lit. e RODO, powinien w tym zakresie kierować się przepisami wynikającymi z innych aktów prawa, z których wynika czas, przez jaki może przetwarzać dane osobowe, a w przypadkach, w których prawo nie reguluje okresu retencji danych, po przeprowadzeniu analiz, określić ten okres tak, aby przetwarzanie danych było zgodne z celami, z którymi je pozyskano.
* RODO na ostatniej prostej – spraw dź i zaznacz, co masz już gotowe

Zobacz również

Okres przetwarzania

Przepisy ustawy o dostępie do informacji publicznej, a także przepisy rozporządzenia ministra spraw wewnętrznych i administracji w sprawie Biuletynu Informacji Publicznej, nie precyzują okresu udostępniania informacji w BIP, zarówno minimalnego, jak i maksymalnego. Brak jednak wskazanych przepisami okresów przetwarzania nie powoduje, że informacje takie można przetwarzać bezterminowo. Organy władzy publicznej są z jednej strony zobowiązane do zapewnienia przejrzystości prowadzonych przez siebie działań, z drugiej muszą zaś dbać o ochronę praw i wolności każdej jednostki i stosować przepisy RODO.
Co ciekawe, zagadnienie czasu udostępniania informacji w BIP było przedmiotem zainteresowania sądów administracyjnych już na gruncie przepisów poprzednio obowiązującej ustawy o ochronie danych osobowych i na gruncie RODO. Przykładem jest wyrok WSA w Lublinie z 1 marca 2016 r. (sygn. akt II SA/Lu 876/15). W uzasadnieniu czytamy m.in.: „[z] art. 26 ust. 1 pkt 4 ustawy o ochronie danych osobowych wynika zasada ograniczenia czasowego udostępnienia danych osobowych w Biuletynie Informacji Publicznej. Zasada ta oznacza, że nawet jeśli określone dane odpowiadają celowi, dla którego są zbierane, to nie powinny być przetwarzane, w tym udostępniane innym podmiotom ad finitum. Czasowym wyznacznikiem powinno być natomiast osiągnięcie celu przetwarzania”. Ustalenia tego wyroku zdają się zachowywać aktualność także przy obecnie obowiązujących przepisach o ochronie danych osobowych, a jego uzasadnienie przytoczone zostało we wspomnianym wyroku WSA w Warszawie z 18 października 2019 r.

Na określony czas

Jak wspominaliśmy wyżej, bywa, że publikowanie informacji w BIP wynika z wprost określonego obowiązku. Do tej kategorii informacji należą oświadczenia majątkowe i wyniki naborów. Zgodnie z art. 24i ustawy o samorządzie gminnym (dalej: u.s.g.) informacje zawarte w oświadczeniach majątkowych radnych są jawne, z wyłączeniem informacji o adresie zamieszkania osoby składającej oświadczenie oraz o miejscu położenia nieruchomości.
Choć brak ustawowo zakreślonego terminu, w jakim oświadczenia należy zamieścić w BIP, to wydaje się oczywiste, że powinny być publikowane niezwłocznie po ich złożeniu. Z art. 24i ust. 2 u.s.g. wynika, że wojewoda i przewodniczący rady gminy przekazują wójtowi kopie oświadczeń majątkowych, które im złożono, nie wynika natomiast, w jakim terminie wojewoda zobowiązany jest do odesłania kopii złożonych mu oświadczeń. Dopóki jednak organ ten nie przekaże wójtowi kopii złożonych mu oświadczeń, dopóty nie mogą być one opublikowane w BIP, mimo że de facto wójt i przewodniczący rady pozostają w ich posiadaniu.
WAŻNENaruszeniem ochrony danych osobowych jest brak określenia w procedurach wewnętrznych terminu usuwania danych opublikowanych w BIP, jak również brak procedur dotyczących przeglądu danych pod kątem zapewnienia przetwarzania danych zgodnie z zasadą ograniczenia przechowywania.
Sam fakt nieopublikowania w BIP oświadczenia majątkowego funkcjonariusza samorządu gminnego, o którym mowa w art. 24h ust.1 u.s.g., nie oznacza, że nie ma ono waloru jawności, albowiem staje się ono jawne z chwilą jego złożenia (tak wyrok WSA z Wrocławia z 29 września 2016 r., sygn. akt V SAB/Wr 115/16/).
Jeśli chodzi o maksymalny czas przechowywania tych danych, to ustawa o samorządzie gminnym wprost wskazuje na termin sześcioletni. Po jego upływie przetwarzanie danych trzeba uznać za niedopuszczalne. Termin ten dotyczy zarówno oświadczeń złożonych przez osoby, które przestały już pełnić swoją funkcję, jak i przez te, które nadal sprawują funkcję publiczną, a których oświadczenie, z uwagi na konieczność złożenia kolejnego, aktualnego oświadczenia o stanie majątkowym, stało się nieaktualne.
Również przetwarzanie (w tym przechowywanie i udostępnianie) danych zawartych w tych oświadczeniach w BIP nie powinno mieć miejsca przez czas dłuższy, niż wymaga ustawa o samorządzie gminnym. W przeciwnym razie może to prowadzić do naruszenia art. 5 ust. 1 lit. b, c i e RODO, gdyż spowoduje, że informacje będą przetwarzane bez podstawy prawnej (powyżej terminu zakreślonego przez ustawodawcę) oraz przechowywane będą w postaci umożliwiającej identyfikację osoby, której dotyczą, dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania.
Z kolei kwestie informacji o naborach reguluje art. 13 ust. 1 ustawy o pracownikach samorządowych, zgodnie z którym ogłoszenie o wolnym stanowisku urzędniczym, w tym kierowniczym, oraz o naborze kandydatów na to stanowisko umieszcza się w BIP. Ponadto na podstawie art. 15 ust. 1 ustawy o pracownikach samorządowych niezwłocznie po przeprowadzonym naborze informacja o wyniku naboru jest upowszechniana przez umieszczenie na tablicy informacyjnej w jednostce, w której był przeprowadzony nabór, oraz opublikowanie w Biuletynie przez okres co najmniej trzech miesięcy.

Kwestie nieuregulowane

W BIP publikowane są także informacje, co do których prawo nie reguluje okresu udostępnienia. W tym przypadku ustawodawca pozostawił administratorowi (podmiotowi zobowiązanemu do udostępnienia informacji) obowiązek analizy zagadnienia czasu trwania tego okresu. Opublikowane w BIP informacje, dla których termin publikacji nie wynika z przepisów, powinny zostać poddane ocenie zgodnie z formalną procedurą (wprowadzoną przez administratora) zapewniającą usystematyzowane kształtowanie BIP, tak aby wszystkie informacje, dla których cel przetwarzania został osiągnięty, zostały usunięte.
Administrator, zgodnie z zasadą ograniczonego przechowywania, wynikającą z art. 5 ust. 1 lit. e RODO, powinien kierować się przepisami wynikającymi z innych aktów prawa, z których wynika czas, przez jaki może przetwarzać dane osobowe. A w przypadkach, w których prawo nie reguluje okresu retencji danych, po przeprowadzeniu analiz określić ten okres tak, aby przetwarzanie danych było zgodne z celami, dla którymi je pozyskano. Jak ustalono w toku kontroli sprawy z Aleksandrowa Kujawskiego, zakończonej decyzją z 18 października 2019 r., w urzędzie została wdrożona wewnętrzna procedura dotycząca prowadzenia BIP, jednak nie zawierała ona zasad dotyczących przeglądu danych opublikowanych w BIP pod kątem zapewnienia ich przetwarzania zgodnie z zasadą ograniczonego przechowywania. Z powyższej decyzji wynika, że naruszeniem ochrony danych osobowych było to, że administrator nie określił w procedurach wewnętrznych terminu usuwania danych opublikowanych w BIP, jak również nie opracował procedur dotyczących przeglądu zasobów danych w materiałach opublikowanych w BIP pod kątem zapewnienia przetwarzania danych zgodnie z zasadą ograniczenia przechowywania.
Dla administratorów jest ważne, że zdaniem organu nadzoru przedmiotowa procedura regulować ma istotne dla procesu przetwarzania danych osobowych czynności na tych danych w celu zapewnienia realizacji zasady ograniczenia przechowywania, dlatego należy ją traktować jako politykę ochrony danych, o której mowa w art. 24 ust. 2 RODO.

O tym nie wolno zapomnieć

Na tle ustaleń poczynionych przez prezesa UODO zapewnienie poprawnej obsługi BIP wymaga wprowadzenia procedury, która powinna określać zadania i przypisywać kompetencje dotyczące:
  • publikowania informacji w BIP,
  • aktualizacji informacji w BIP,
  • okresowych przeglądów informacji zamieszczonych w BIP pod kątem ich aktualności, minimalizacji danych, czasu przechowywania,
  • obsługi technicznej BIP,
  • utrzymania standardu struktury strony podmiotowej BIP.
W każdej organizacji zobowiązanej do prowadzenia BIP powinna zostać wyznaczona osoba pełniące rolę redaktora biuletynu lub zespół osób stanowiących zespół ds. prowadzenia BIP, do obowiązków których będzie należało m.in. sprawowanie formalnego i merytorycznego nadzoru nad zakresem i sposobem publikowania w BIP informacji oraz określenie, które informacje wytwarzane lub posiadane przez komórkę organizacyjną muszą być publikowane w BIP.
Kwestie techniczne prowadzenia BIP powinny być przypisane osobie odpowiedzialnej za:
  • dokonywanie modyfikacji systemu mających na celu poprawę jego funkcjonalności, a także czytelności i przejrzystości BIP,
  • administrowanie serwerem BIP, w tym zapewnienie jego bezpiecznego funkcjonowania,
  • zapewnienie ciągłości dostępu do informacji w BIP,
  • informowanie o przerwach w dostępie do BIP, ze wskazaniem w miarę możliwości czasu przewidywanej przerwy.
W procedurze prowadzenia BIP, zgodnie ze stanowiskiem UODO zawartym w decyzji z 18 października 2019 r., powinny zostać uregulowane kwestie usuwania informacji z BIP, ich archiwizacji, cyklicznych sprawdzań i przeglądu zawartości, z tym zastrzeżeniem, że czas przechowywania (publikowania) określonych informacji w BIP uzależniony jest od:
  • przepisów, które wprost wskazują, przez jaki okres czasu określone informacje muszą zostać podane do publicznej wiadomości,
  • ustania celu publikowania informacji, o ile przepis szczególny nie stanowi inaczej,
  • aktualności zamieszczonych informacji.
Aktualność informacji umieszczanych w BIP wymagana jest także przez ustawę o dostępności cyfrowej stron internetowych i aplikacji mobilnych podmiotów publicznych. Ustawa ta określając wyłączenia podmiotowe i przedmiotowe spod regulacji, odnosi się do katalogu informacji, których treści nie są wykorzystywane do realizacji bieżących zadań podmiotu publicznego.
Podstawa prawna
•art. 5, art. 24 ust. 2, art. 86 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE z 2016 r. L 119, s. 1; RODO)
•art. 6 ust. 1 ustawy z 6 września 2001 r. o dostępie do informacji publicznej (t.j. Dz.U. z 2019 r. poz. 1429)
•rozporządzenie ministra spraw wewnętrznych i administracji z 18 stycznia 2007 r. w sprawie Biuletynu Informacji Publicznej (Dz.U. Nr 10, poz. 68)
•art. 24h ust.1, art. 24i ustawy z 8 marca 1990 r. o samorządzie gminnym (Dz.U. z 2020 r. poz. 713: ost.zm. Dz.U. z 2020 r. poz. 1378)
•art. 13 ust. 1, art. 15 ust. 1 ustawy z 21 listopada 2008 r. o pracownikach samorządowych (t.j. Dz.U. z 2019 r. poz. 1282)
•ustawa z 4 kwietnia 2019 r. o dostępności cyfrowej stron internetowych i aplikacji mobilnych podmiotów publicznych (Dz.U. poz. 848)