Gmina jest administratorem, nawet jeśli to nie ona zamawiała BIP

Sąd orzekł, że dostęp do informacji publicznej podlega przepisom RODO. I podtrzymał 40 tys. zł kary dla burmistrza Aleksandrowa Kujawskiego.

Naczelny Sąd Administracyjny uznał wczoraj, że to miasto powinno było zawrzeć umowę powierzenia przetwarzania danych z firmami obsługującymi internetowy serwis BIP, mimo że zamawiającym były władze województwa. NSA rozpatrywał skargę kasacyjną burmistrza Aleksandrowa Kujawskiego od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 26 sierpnia 2020 r. (sygn. akt II SA/Wa 2826/19) w sprawie skargi burmistrza na decyzję prezesa Urzędu Ochrony Danych Osobowych z 18 października 2019 r. (nr ZSPU.421.3.2019).

Kara dla burmistrza

UODO ukarał Aleksandrów Kujawski za kilka naruszeń przepisów RODO. Przede wszystkim chodziło o to, że udostępnianie danych osobowych Biuletynu Informacji Publicznej Urzędu Miejskiego w Aleksandrowie Kujawskim firmom prowadzącym stronę internetową BIP odbywało się bez uprzedniego zawarcia z tymi podmiotami umowy powierzenia danych osobowych, o której mowa w art. 28 ust. 3 RODO. W takiej umowie powinny zostać określone m.in.: czas trwania przetwarzania, charakter i cel, rodzaj danych osobowych czy prawa i obowiązki administratora.

Podczas kontroli w Aleksandrowie organ ochrony danych dopatrzył się też m.in. braku procedur wewnętrznych, które zapewniłyby przetwarzanie danych zgodnie z zasadą ograniczonego przechowywania. W rezultacie dane osobowe były dostępne na stronie BIP zbyt długo. Chodziło m.in. o kwestię publikacji w BIP oświadczeń majątkowych radnych. Zgodnie z art. 24h ust. 6 ustawy o samorządzie gminnym (t.j. Dz.U. z 2019 r. poz. 506 ze zm.) przechowuje się je przez sześć lat – podczas gdy najstarsze dostępne w kontrolowanym BIP pochodziły z 2010 r.

Miasto argumentowało, że ustawowy okres dotyczy przechowywania, a nie publikacji, i że oświadczenia muszą być dostępne w czasie pięcioletniej kadencji radnych. Dopiero po jej zakończeniu zaczyna biec sześcioletni termin przechowywania.

Zarzuty kasacyjne

– Pierwszy zarzut ze skargi kasacyjnej dotyczy prawa materialnego, tj. tego, czy w tej sprawie powinny mieć zastosowanie przepisy RODO – mówił wczoraj na rozprawie dr Paweł Litwiński, adwokat z kancelarii Barta Litwiński, reprezentujący burmistrza. Zdaniem skarżącego dostęp do informacji publicznej nie podlega bowiem RODO – jako działalność nieobjęta zakresem prawa Unii Europejskiej (patrz: ramka).

– Ponadto sprawa dotyczy systemu dostępu do informacji publicznej stworzonego za środki unijne przez województwo kujawsko-pomorskie – pełnomocnik skarżącego przedstawił drugi najistotniejszy zarzut mający doprowadzić do uchylenia orzeczenia WSA. – Gdyby gmina do tego systemu nie przystąpiła, naraziłaby się na zarzut niegospodarności. Natomiast przystępując, nie miała wpływu na sposób realizacji zamówienia – stwierdził mec. Litwiński.

Realizowane przez województwo kujawsko-pomorskie zamówienie publiczne na internetowy system BIP obejmowało wszystkie gminy. Burmistrz Aleksandrowa nie uważał się więc za podmiot odpowiedzialny za zawarcie z wykonawcami serwisu umowy powierzenia danych osobowych. Kolejny zarzut ze skargi dotyczył kary 40 tys. nałożonej przez prezesa UODO, a podtrzymanej przez WSA.

– Nie można nałożyć kary finansowej, jeżeli ukarany nie ponosi winy za naruszenie. Gmina zaś winy nie ponosi, ponieważ nie miała wpływu na to, jak system udostępniania informacji publicznej został stworzony – argumentował Paweł Litwiński. Powołał się przy tym na wyroki Trybunału Sprawiedliwości Unii Europejskiej z 5 grudnia 2023 r. w sprawach C 683/21 oraz C 807/21. Trybunał orzekł w nich, że na administratora danych można nałożyć administracyjną karę pieniężną za naruszenie RODO tylko wtedy, gdy naruszenie to zostało popełnione w sposób zawiniony.

Wyłączenia to wyjątki

UODO argumentował, że wyłączenia zastosowania RODO nie dotyczą omawianej sprawy i gdyby rozumować tak, jak skarżący, to dane osobowe właściwie nie podlegałyby ochronie. Także WSA w uzasadnieniu wyroku stwierdził, że przyjęta przez burmistrza interpretacja przepisów „prowadziłaby do interpretacji ad absurdum”. Zastosowanie RODO ograniczone byłoby do bardzo wąskiego zakresu obowiązywania prawa Unii.

Z wyrokiem WSA zgodził się NSA, który oddalił wczoraj kasację burmistrza Aleksandrowa Kujawskiego i zasądził od niego na rzecz prezesa UODO zwrot kosztów postępowania kasacyjnego (480 zł).

– Wyłączenie (spod przepisów RODO – red.) ma charakter wyjątkowy i w niniejszej sprawie nie znajduje zastosowania – stwierdziła w ustnym uzasadnieniu wyroku sędzia sprawozdawca Hanna Knysiak-Sudyka. – Intencją ustawodawcy nie było zawężenie zakresu ochrony danych osobowych, tylko jego zwiększenie – podkreśliła.

Dodała, że prawo do ochrony danych osobowych jest w UE prawem podstawowym, a wyłączenie, na które powoływał się skarżący, ma charakter wyjątkowy i dotyczy m.in. działań odnoszących się do bezpieczeństwa narodowego.

– Sąd nie ma też wątpliwości, że burmistrz jest administratorem danych osobowych – odniosła się do kolejnego zarzutu ze skargi kasacyjnej.

NSA uznał też za wystarczające uzasadnienie sądu I instancji dla podtrzymania wymierzonej przez UODO kary pieniężnej. Mając na uwadze charakter dokonanych naruszeń, WSA uznał karę 40 tys. zł – stanowiącą 40 proc. maksymalnej możliwej kary – za adekwatną i proporcjonalną.

Co z innymi gminami

Wobec innych gmin korzystających z internetowego systemu BIP w ramach wojewódzkiego zamówienia UODO nie podejmował żadnych działań. Aby uniknąć konsekwencji, jakie spotkały Aleksandrów Kujawski, mogą one jednak zawrzeć z firmami obsługującymi serwis internetowy umowy powierzenia danych – niezależnie od zamówienia publicznego udzielanego przez województwo.

– Uregulowanie stosunku dostępu do informacji publicznej i poziomu ochrony danych osobowych wymaga jednak moim zdaniem zmian na poziomie legislacyjnym, choćby przez ustawowe wskazanie terminów przechowywania danych – komentuje Paweł Litwiński.©℗

orzecznictwo