Publikowanie przez podmioty zobowiązane do udostępniania informacji publicznej tzw. rejestrów wniosków o dostęp do informacji zasługuje ze wszech miar na aprobatę. Jednocześnie niektóre z rejestrów są dotknięte bardzo istotną wadą prowadzącą do naruszenia prawa do ochrony danych osobowych wnioskodawców. Jak więc pogodzić jawność z ochroną prywatności?
dr Paweł Litwiński, adwokat, partner w Barta Litwiński Kancelaria Radców Prawnych i Adwokatów sp.p.
Od wielu lat podmioty zobowiązane do udostępniania informacji, zwłaszcza jednostki samorządu terytorialnego, narzekają na zalew wniosków o dostęp do informacji. Nie mnie oceniać w tym momencie, czy tak jest w rzeczywistości, tym niemniej jednym z rozwiązań, które – jak się wydaje – ma ograniczyć skalę wniosków, są tzw. rejestry wniosków o dostęp do informacji. Na czym to rozwiązanie polega? Otóż w Biuletynie Informacji Publicznej (dalej: BIP) umieszcza się wszystkie wnioski o udostępnienie informacji, jakie wpływają do danego podmiotu, wraz z odpowiedziami na nie. Zazwyczaj towarzyszy temu mniej lub bardziej rozbudowany mechanizm przeszukiwania powstałej w ten sposób bazy danych, np. po słowach kluczowych czy tematyce wniosku. Efekt jest bardzo prosty – jeżeli do podmiotu zobowiązanego wpływa wniosek o udostępnienie informacji tożsamy z wcześniejszym wnioskiem, na który udzielono już odpowiedzi, wówczas wystarczy odesłanie do strony, na której ten wniosek wraz z odpowiedzią został opublikowany, i nie ma potrzeby powtórnego przygotowywania odpowiedzi. W przypadku typowych zapytań, wpływających do podmiotu zobowiązanego w sposób powtarzalny, efektem po stronie tego podmiotu jest mniej pracy; z drugiej strony taki rejestr przyczynia się do zwiększenia jawności i dostępności informacji, a więc sam w sobie jest więc zjawiskiem korzystnym z punktu widzenia celów, jakie stawia prawo dostępu do informacji.
Dwa modele
Analiza dostępnych w sieci rejestrów wniosków o dostęp do informacji prowadzi do wniosku, że można spotkać dwa typowe modele ich tworzenia:
1) publikacja wniosku i odpowiedzi na niego, czasem z decyzją o odmowie udostępnienia informacji, bez żadnej ingerencji w ich treść,
2) publikacja dokumentów w postaci zanonimizowanej.
W pierwszym przypadku publikowane są wszystkie dane osobowe wnioskodawcy, jakie ten podał przy składaniu wniosku; w drugim przypadku te dane są anonimizowane.
UWAGA! Anonimizacja danych osobowych to takie przekształcenie tych danych, które powoduje, że nie można ustalić, kogo te dane dotyczą. W praktyce polega najczęściej na zamazaniu w dokumencie danych identyfikujących osoby fizyczne. Prawidłowa anonimizacja obejmuje wszelkie dane, które pozwalają na identyfikację osoby, a więc nie tylko imię i nazwisko, lecz także takie informacje jak adres, adres poczty elektronicznej, miejsce pracy czy własnoręczny podpis.
W sieci można znaleźć mnóstwo przykładów rejestrów wniosków o dostęp do informacji, w których publikuje się pełne, niezanonimizowane dane osobowe wnioskodawcy. Przykład? Bardzo proszę: wniosek złożony w imieniu partii politycznej, podpisany imieniem, nazwiskiem, z podaniem adresu poczty elektronicznej i podpisu osoby składającej. Mamy więc z pewnością dane osobowe, a do tego zapewne dane osobowe wrażliwe, bo ujawniające poglądy polityczne.
UWAGA! Dane osobowe to wszelkie informacje, które można powiązać ze zidentyfikowaną lub możliwą do identyfikacji osobą fizyczną. Będzie to więc nie tylko imię, nazwisko, numer PESEL czy adres zamieszkania, lecz także informacje pozwalające na pośrednią identyfikację, takie jak informacje o miejscu pracy, aktywności społecznej, zainteresowaniach czy poglądach.
Brak podstawy prawnej
Każde przetwarzanie danych osobowych, a więc także ich ujawnianie, wymaga istnienia podstawy prawnej, która to podstawa została wskazana w przepisach ogólnego rozporządzenia o ochronie danych osobowych, czyli w tzw. RODO. Z tej perspektywy wypada przypomnieć, że publikowanie rejestrów wniosków o dostęp do informacji to wyraz pewnej praktyki, co do zasady dobrej praktyki, ale jednak wyłącznie praktyki podmiotów zobowiązanych. Nie istnieją żadne przepisy prawa, które by wymagały takiego postępowania – a to sprawia, że nie istnieją przepisy stanowiące podstawę przetwarzania danych osobowych wnioskodawców w zakresie, w jakim te dane miałyby być ujawnione w rejestrze wniosków. Co to oznacza? Uwzględniając to, że organy władzy publicznej powinny działać na podstawie i w granicach prawa, wniosek wydaje się prosty – nie wolno publikować danych osobowych wnioskodawców w rejestrach wniosków o dostęp do informacji, ponieważ nie ma do tego podstawy prawnej. Taki wniosek z pewnością będzie prawidłowy wtedy, gdy w grę wchodzi publikowanie danych wrażliwych; można natomiast się zastanawiać, czy publikacja w rejestrze danych zwykłych nie mogłaby znaleźć podstawy w art. 6 ust. 1 lit. e RODO, a więc z powołaniem się na zadanie (tu: udostępnianie informacji publicznej) realizowane w interesie publicznym. Na tak postawione pytanie niestety trzeba udzielić odpowiedzi negatywnej: podstawa przetwarzania danych wskazana w art. 6 ust. 1 lit. e RODO może znaleźć zastosowanie wyłącznie wówczas, gdy przetwarzanie danych (tutaj: publikacja danych wnioskodawcy) jest niezbędna do realizacji zadania publicznego; innymi słowy, jeżeli nie da się zrealizować zadania bez publikacji danych. Tymczasem publikowanie rejestrów wniosków o dostęp do informacji ma służyć udostępnianiu informacji i do realizacji tego celu nie potrzeba ujawniania danych osobowych wnioskodawców – nie jest więc spełniona przesłanka niezbędności przetwarzania danych osobowych, a więc podstawa przetwarzania danych z art. 6 ust. 1 lit. e RODO nie znajdzie tutaj zastosowania (podobnie, uprzedzając ewentualne pytania, będzie z przesłanką z art. 6 ust. 1 lit. f, która również opiera się na kryterium niezbędności). Nie wolno również zbierać zgód wnioskodawców na publikowanie ich danych osobowych w rejestrach wniosków: po pierwsze, gdyby zbierać takie zgody od każdego, nie byłyby dobrowolne, skoro każdy wnioskodawca musiałby udzielić zgody; po drugie, jak już wspomniano wyżej, publikacja danych wnioskodawcy nie jest niezbędna do funkcjonowania rejestru wniosków, a więc i ew. zgoda na taką publikację byłaby zebrana wadliwie.
Także przepisy ustawy z 6 września 2001 r. o dostępie do informacji publicznej (t.j. Dz.U. z 2020 r. poz. 2176; ost.zm. Dz.U. z 2021 r. poz. 1641) powinny być tutaj wskazówką co do tego, jak należy postąpić – otóż zgodnie z art. 5 ust. 2 tejże ustawy prawo do informacji publicznej podlega ograniczeniu ze względu na prywatność osoby fizycznej. Jeżeli więc przyjmiemy, że praktyka publikowania rejestrów wniosków o dostęp do informacji jest wyrazem realizacji prawa dostępu do informacji publicznej, to publikując wnioski i odpowiedzi na nie, należy postępować w ten sposób, aby respektować prawo do prywatności wnioskodawców. Jeżeli więc podmiot zobowiązany do udostępniania informacji decyduje się na utworzenie rejestru wniosków o dostęp do informacji, wówczas powinien publikować w takim rejestrze zanonimizowane dane osobowe wnioskodawców.
dobre praktyki
• Publikując w rejestrze wniosków wniosek o dostęp do informacji pochodzący od osoby fizycznej, anonimizujemy dane osobowe wnioskodawcy, tj. w szczególności imię, nazwisko, adres korespondencyjny i adres poczty elektronicznej. Zamazujemy również własnoręczny podpis wnioskodawcy, jeżeli został zawarty we wniosku. Podobnie postępujemy, publikując odpowiedź na wniosek lub decyzję o odmowie udostępnienia informacji.
• Publikując wniosek o dostęp do informacji pochodzący od osoby prawnej, anonimizujemy dane osobowe osoby działającej w imieniu tej osoby, tj. w szczególności imię, nazwisko i adres poczty elektronicznej. Zamazujemy również własnoręczny podpis takiej osoby, jeżeli został zawarty we wniosku. Nie anonimizujemy nazwy wnioskodawcy będącego osobą prawną i jego danych adresowych. Podobnie postępujemy, publikując odpowiedź na wniosek lub decyzję o odmowie udostępnienia informacji.
A jak postępujemy z danymi osobowymi osób, które uczestniczyły w przygotowaniu odpowiedzi na wniosek i które się pod nią podpisały? Z jednej strony, podobnie jak w przypadku wnioskodawców, nie istnieje podstawa prawna do publikacji takich danych (taka podstawa istnieje w szczególności w przypadku danych osób redagujących stronę podmiotową Biuletynu Informacji Publicznej i wynika wprost z przepisów rozporządzenia ministra spraw wewnętrznych i administracji z 18 stycznia 2007 r. w sprawie Biuletynu Informacji Publicznej; Dz.U. z 2007 r. nr 10, poz. 68). Z drugiej strony osoby przygotowujące odpowiedzi na wnioski o dostęp do informacji nie korzystają z ochrony przewidzianej przez art. 5 ust. 2 ustawy o dostępie do informacji publicznej, a więc ich dane osobowe powinny być jawne. Można więc bronić tezy, zgodnie z którą dane osobowe osób, które uczestniczyły w przygotowaniu odpowiedzi na wniosek i które się pod nią podpisały, nie powinny być anonimizowane w ramach rejestru wniosków o dostęp do informacji, choć ta kwestia nie jest już tak jednoznaczna, jak podobny problem dotyczący danych wnioskodawców.
Dlaczego anonimizować
Dlaczego anonimizacja danych osobowych wnioskodawców w przypadku rejestru wniosków o dostęp do informacji jest tak istotna? Ponieważ ujawnienie danych osobowych może wyrządzić tym osobom ogromne szkody. Wyobraźmy sobie np. pracownika urzędu administracji publicznej, który zwalcza nieprawidłowości występujące w tym urzędzie i korzysta w tym celu z dostępu do informacji publicznej na wniosek; składa wnioski anonimowo, bo obawia się o swój los w tym urzędzie, podając jedynie swój fantazyjny adres poczty elektronicznej, na który przesyłane są odpowiedzi; publikując wnioski i odpowiedzi, urząd publikuje także ten adres poczty elektronicznej, po którym koledzy z pracy identyfikują wnioskodawcę. Albo inny przykład: uczeń szkoły średniej składa wniosek o dostęp do informacji publicznej w imieniu organizacji, w której jest wolontariuszem; szkoła publikuje wniosek wraz z odpowiedzią bez anonimizacji, co powoduje ujawnienie poglądów tegoż ucznia i naraża go na szykany ze strony innych uczniów i nauczycieli. W tym zakresie mamy do czynienia z koniecznością zapewnienia ochrony podobnej do ochrony należnej sygnalistom, których dane osobowe należy bezwzględnie chronić.
Ujawnienie w rejestrze wniosków o dostęp do informacji publicznej danych osobowych wnioskodawców to przetwarzanie danych bez podstawy prawnej, a więc naruszenie RODO. Osobie, której dane ujawniono, przysługuje więc możliwość złożenia skargi do prezesa Urzędu Ochrony Danych Osobowych i domagania się nakazania przywrócenia stanu zgodnego z prawem, czyli anonimizacji danych. Co trzeba podkreślić, za takie naruszenie prawa prezes UODO ma także możliwość nałożenia administracyjnej kary pieniężnej, której wysokość w sektorze publicznym może wynieść do 100 000 zł, a w sektorze prywatnym (takie podmioty także czasami udostępniają informację publiczną) do 4 proc. obrotu ukaranego podmiotu za poprzedni rok. Ten, czyje dane ujawniono z naruszeniem prawa, może także skorzystać z drogi sądowej przed sądem cywilnym i domagać się stosownego zadośćuczynienia. W polskich warunkach nie będą to zapewne wysokie kwoty (jako przykład można wskazać wyrok Sądu Okręgowego w Warszawie z 6 sierpnia 2020 r., sygn. akt XXV C 2596/19, w którym zasądzono 1500 zł od ubezpieczyciela, który przekazał osobie poszkodowanej w kolizji drogowej zbyt wiele informacji na temat właścicielki polisy), jednak uwzględniając koszty sądowe i w niektórych przypadkach masową skalę naruszeń, mogą się okazać w praktyce dotkliwe. Trzeba też pamiętać, że przetwarzanie danych osobowych bez podstawy prawnej stanowi przestępstwo zagrożone karą pozbawienia wolności do 2 lat, a w przypadku danych wrażliwych do 3 lat (art. 107 ustawy o ochronie danych osobowych), co zwłaszcza w przypadku piastunów organów władzy publicznej może okazać się najbardziej dotkliwą sankcją.
Tak więc jeżeli w gminie działa rejestr wniosków o dostęp do informacji publicznej i ujawnia się w nim dane osobowe wnioskodawców, to w pierwszej kolejności trzeba zaprzestać tej praktyki – czyli zanonimizować dane osobowe zgodnie z podanymi wyżej wskazówkami. Jeżeli ujawnienie danych osobowych nastąpiło przypadkiem, przez niedopatrzenie lub błąd, trzeba rozważyć dokonanie zgłoszenia naruszenia bezpieczeństwa danych osobowych do prezesa UODO. A patrząc w przyszłość, warto opracować – i wdrożyć – politykę bezpieczeństwa danych osobowych przetwarzanych w takim rejestrze wniosków, która dokładnie, krok po kroku, będzie opisywała to, czyje dane podlegają anonimizacji i jak ta anonimizacja powinna przebiegać.
Wnioskodawcy rzadko są anonimowi
Udostępnianie informacji publicznej na wniosek stanowi jeden z trybów dostępu do informacji publicznej – jeżeli informacja nie została udostępniona w BIP, podlega udostępnieniu na wniosek zainteresowanego podmiotu. Sam wniosek może być złożony anonimowo (konieczność podania danych osobowych pojawia się dopiero wtedy, gdy podmiot zobowiązany do udostępnienia informacji ma zamiar wydać decyzję odmowną), ale duża część wniosków jest podpisanych imieniem i nazwiskiem, czasem z podaniem podmiotu, w imieniu którego są one składane, oraz adresu osoby występującej o informację.
