Niedawno na łamach DGP (nr 134 z 14 lipca br.) Urząd Ochrony Danych Osobowych (UODO) przedstawił stanowisko, zgodnie z którym włodarze są administratorami danych osobowych zawartych w deklaracji zawierającej informacje na temat źródeł ciepła. Pogląd ten wywołał nie lada zamieszanie wśród samorządów. A to dlatego, że art. 27a ustawy z 21 listopada 2008 r. o wspieraniu termomodernizacji i remontów oraz o centralnej ewidencji emisyjności budynków (t.j. Dz.U. z 2021 r. poz. 554; ost.zm. Dz.U. z 2021 r. poz. 1243) wprost wskazuje, że administratorem danych zgromadzonych w Centralnej Ewidencji Emisyjności Budynków (CEEB) jest minister właściwy do spraw budownictwa, a dokładnie Główny Urząd Nadzoru Budowlanego, który w jego imieniu odpowiada za CEEB.
Ustawa do poprawy
Sprawa nie jest jednak taka prosta. Nawet UODO przyznaje, że ustawodawca pozostawił wiele wątpliwości w zakresie tego, jakie są zadania i odpowiedzialność gmin za dane osobowe wpisywane i pozyskiwane z CEEB. Na tyle istotne, że organ sugeruje doprecyzowanie przepisów – np. przez uznanie JST za współadministratorów danych [pytania do eksperta]. To koncepcja, z którą zgadza się także dr Mirosław Gumularz, radca prawny w kancelarii GKK Gumularz Kozik Radcowie Prawni. Jego zdaniem zarówno minister, jak i gminy powinni brać odpowiedzialność za dane osobowe przetwarzane jedynie przez siebie. – Gminy są jedynie użytkownikami systemu zarządzanego przez GUNB. Muszą wiedzieć, w jakim zakresie odpowiadają za bezpieczeństwo danych i co się dzieje w przypadku, gdy nie mogą wypełnić własnych celów, np. z powodu awarii systemu – dodaje Mirosław Gumularz. W przeciwnym razie mogą mieć kłopoty w trakcie ewentualnej kontroli organu nadzorczego.
Za przyjęciem przepisów wskazujących role i zakres odpowiedzialności współadministratorów jest także dr Marlena Sakowska-Baryła, radca prawny i partner w Sakowska-Baryła Czaplińska Kancelaria Radców Prawnych. – Zdecydowanie potrzebna jest tu interwencja ustawodawcy – podkreśla. Wyjaśnia, że bez doprecyzowania przepisów trudno jest dziś mówić o współadministrowaniu danymi. A próba zawierania umów między gminami a GUNB mogłaby przynieść więcej szkody niż pożytku, np. może wiązać się z nałożeniem na JST dodatkowych obowiązków związanych chociażby z raportowaniem do GUNB o działaniach dokonywanych na danych osobowych.
A co na to GUNB? Nie widzi problemu. Wskazuje, że dane osobowe z CEEB są udostępniane JST w momencie, gdy zgodnie z art. 27d ustawy o wspieraniu termomodernizacji są one niezbędne do realizacji ich ustawowych zadań. Temat pozostaje więc otwarty. Przedstawiciele UODO przyznają jednak, że na razie sytuacja jest patowa. I zapowiadają przygotowanie poradników dla gmin. Dla nich to oczywiście dobra informacja, bo nie są pewne, jaki jest zakres ich odpowiedzialności. Ale i tak – jak wskazują prawnicy – potrzebne jest pilne uregulowanie tej kwestii w przepisach ustawy. Doraźne działania nie wystarczą.

pytania do eksperta

Monika Krasińska dyrektor departamentu orzecznictwa i legislacji w Urzędzie Ochrony Danych Osobowych
Ustawa o wspieraniu termomodernizacji wskazuje ministra ds. budownictwa jako administratora danych osobowych zawartych w CEEB. Dlaczego zatem gmin nie uznać za procesorów danych?
Ustawodawca nie określił precyzyjnie roli jednostek samorządu terytorialnego w procesie ewidencjonowania informacji o źródłach ciepła. Jednocześnie wprowadził pewne zamieszanie, wskazując jedynie administratora centralnej ewidencji emisyjności budynków. Dokonując analizy zgodności przepisów projektu tej ustawy z RODO, przyjrzeliśmy się temu, które podmioty realizują jakie cele. I bardzo szybko doszliśmy do wniosku, że przy CEEB jednostek samorządu terytorialnego nie można uznać jedynie za procesorów, bo one nie realizują wyłącznie celów wskazanych przez GUNB, ale również obowiązki nałożone na nie przepisami prawa.
Gminy na podstawie deklaracji składanych do wójta, burmistrza lub prezydenta miasta przez właścicieli lub zarządców budynków lub lokali wprowadzają informacje do systemu, więc to od ich skrupulatności i dokładności zależy m.in. jakość tych danych. Ponadto mogą korzystać z informacji zawartych w CEEB. Są więc osobnymi administratorami, podobnie jak przy prowadzeniu ewidencji ludności czy pojazdów, przy realizacji której wykorzystywane są centralne systemy zarządzane przez innych administratorów.
W ustawie brakuje informacji na temat tego, jaki dokładnie jest zakres odpowiedzialności ministra oraz gmin za dane pozyskiwane z CEEB. Wiadomo za to, że gminy nie odpowiadają za funkcjonowanie tego systemu.
Problem jest szerszy. Przepisy dotyczące przetwarzania danych osobowych przez administrację publiczną powinny być klarowne i nie mogą pozostawiać żadnych wątpliwości co do zadań, ról i odpowiedzialności każdego zaangażowanego podmiotu. Pomocne w tym procesie byłoby przeprowadzenie oceny skutków dla ochrony danych. Dobrym przykładem tego typu rozwiązań są przepisy dotyczące ewidencji ludności czy dokumentów paszportowych – tam są bardzo dokładnie rozpisane wszystkie kwestie związane z używaniem wspólnego systemu informatycznego. Co zaś do odpowiedzialności za dane zawarte w CEEB, to ustawodawca rzeczywiście powinien wyraźnie ją określić i przyporządkować poszczególnym organom. W grę wchodzi np. koncepcja współadministrowania danymi osobowymi w przypadku korzystania przez podmioty publiczne z systemu prowadzonego przez inny podmiot publiczny. Jest ona zgodna z niedawno opublikowanymi po konsultacjach społecznych wytycznymi Europejskiej Rady Ochrony Danych (7/2020).
Nie zmienia to faktu, że przepisy są mało precyzyjne. Gminy obawiają się, że będą odpowiadać za incydenty, z którymi nie miały nic wspólnego.
Skoro w ustawie nie ma wskazań dotyczących tego, jak gminy mogą korzystać z danych zawartych w CEEB, to w interesie ministra – jako administratora zawartych w tym systemie danych – powinno być dążenie do tego, by takie regulacje prawne wprowadzić. Przepisy powinny bowiem określać zasady administrowania i współadministrowania danymi. Dzięki temu minister miałby możliwość sprawowania kontroli nad wykorzystywaniem danych zawartych w CEEB przez samorządy. Gminy – jeśli mają wątpliwości, jak mają realizować swoje cele ustawowe – powinny występować do ministra z wnioskami o doprecyzowanie przepisów. ©℗
Rozmawiał Jakub Styczyński
Spis rządzi się innymi prawami
W dyskusji nad tym, kto powinien być administratorem danych z CEEB, pojawiały się też pytania, dlaczego JST są traktowane inaczej niż przy Narodowym Spisie Powszechnym. Przecież w jednym i drugim przypadku upoważnieni pracownicy gminy uzupełniają rejestry. Dlaczego zatem przy CEEB gminy są wskazane jako administratorzy, a przy spisie powszechnym nie? – Roli gmin przy spisie powszechnym w żadnym razie nie można porównać do tej, jaką pełnią przy CEEB – tłumaczy UODO. W tym pierwszym przypadku prezes GUS pozostaje bowiem jedynym administratorem danych osobowych i jedynie „wypożycza” pracowników gmin do realizacji celów ustawowych związanych ze spisem. Rachmistrzowie na żadnym etapie nie przekazują danych osobowych do gmin, tylko bezpośrednio do GUS. Samorządy nie mają też dostępu, ani tym bardziej możliwości przetwarzania informacji ze spisu. Gdyby zaś doszło do wycieku danych osobowych, to odpowiedzialny za to byłby prezes GUS.
Tak też tłumaczył nam kwestie bezpieczeństwa tych danych ekspert Związku Miast Polskich Marek Wójcik. Jak mówił, w gminnych punktach spisowych pracują osoby, które na co dzień realizują zadania wiążące się z obowiązkiem zachowania poufności, mają odpowiednią wiedzę, a poza tym komputer w gminnym punkcie jest połączony bezpośrednio z GUS i nie ma łączności z żadną inną siecią (pisaliśmy o tym w dodatku Samorząd i Administracja nr 85 z 5 maja br. w artykule „Wczoraj wystartowali rachmistrzowie. A jakie zadania mają gminy podczas prac spisowych”). Oprócz tego każdy z rachmistrzów, a także pracowników obsługujących gminne punkty, przeszedł szkolenie m.in. z zakresu ochrony danych osobowych i konieczności zachowania tajemnicy statystycznej. Każdy złożył też pisemne przyrzeczenie dotyczące przestrzegania tajemnicy.
W przypadku uruchomionej od 1 lipca br. Centralnej Ewidencji Emisyjności Budynków jest nieco inaczej – deklarację o posiadanych źródłach ciepła mieszkaniec czy przedsiębiorca może wypełnić samodzielnie, elektronicznie i przesłać bezpośrednio do GUNB. Może też skorzystać z pomocy gminy i wówczas to uprawniony urzędnik przenosi dane z papierowego formularza do systemu GUNB, korzystając ze zwykłej przeglądarki internetowej. Nie ma żadnej tajemnicy czy przyrzeczeń, co więcej, za jakiś czas, gdy CEEB będzie w pełni funkcjonalne, gminy będą mogły korzystać ze zgromadzonych w niej danych do własnych celów, np. lokalnych inwentaryzacji pieców.
Dziś takich możliwości jeszcze nie ma, lecz to nie oznacza, że gminy nie ponoszą odpowiedzialności za przekazane im przez mieszkańców dane osobowe. Jak przypomina UODO, gminy mają prawo i obowiązek przetwarzania danych osobowych w sposób i celu określonym w przepisach, w tym wprowadzania danych do ewidencji i korzystaniu z tychże danych w innych określonych celach ustawowych. Oznacza to, że – nie otrzymując żadnego dofinansowania na ten cel – zmuszone są samodzielnie zorganizować sposób zabezpieczenia przetwarzanych przez siebie danych osobowych.