Source: http://www.abi-expert.pl/wydania/kwiecien-czerwiec-2019/art,2368,publikacja-wystapien-pokontrolnych-w-bip.html
Timestamp: 2019-08-23 10:44:04
Legal References Found: art. 6
 art. 6
 art. 1
 art. 4
 art. 31
 art. 10
 art. 88
 art. 5
 art. 6
 art. 86

Document Content:
Publikacja wystąpień pokontrolnych w BIP
21-05-2019 Autor: Katarzyna Frelak
Prawo uzyskiwania informacji publicznej przysługuje każdemu z nas. Dzięki niemu mamy świadomość działań publicznych, ponieważ są one przejrzyste i powszechnie znane. Ale z udostępnianiem takich informacji wiążą się także pewne problemy oraz wątpliwości, które postaramy się wyjaśnić.
Prawo dostępu do informacji publicznej wynikające z ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej (dalej: udip) jest jednym ze sposobów sprawowania kontroli nad władzą publiczną w zakresie realizowanych przez nią zadań. Celem tego prawa, przysługującego na gruncie Konstytucji RP i udip każdemu człowiekowi, jest zapewnienie przejrzystości działań publicznych. To właśnie dlatego niektóre informacje publiczne są obligatoryjnie publikowane w Biuletynie Informacji Publicznej (dalej: BIP), tak aby zapewnić powszechny dostęp do informacji publicznej (bez konieczności składania pisemnego czy ustnego wniosku i oczekiwania na odpowiedź podmiotu zobowiązanego). Polski ustawodawca jednoznacznie podkreślił szczególną rolę BIP, po pierwsze – wskazując publikator jako podstawowy sposób realizacji prawa dostępu do informacji publicznej (art. 7 ust. 1 pkt 1), a po wtóre – dopuszczając możliwość udostępnienia informacji publicznej na wniosek, jeśli nie została ona udostępniona w BIP lub w centralnym repozytorium (art. 10 ust. 1 udip).
Decyzja o publikacji w BIP wystąpienia pokontrolnego
Jedną z informacji publicznych, która obligatoryjnie powinna zostać udostępniona w BIP, jest dokumentacja przebiegu i efektów kontroli oraz wystąpienia, stanowiska, wnioski i opinie podmiotów ją przeprowadzających (art. 8 ust. 3 w zw. z art. 6 ust. 1 pkt 4 lit. a tiret drugie udip). Dokumentacja powinna stanowić dokument urzędowy w rozumieniu art. 6 ust. 2 udip (treść oświadczenia woli lub wiedzy, utrwalona i podpisana w dowolnej formie przez funkcjonariusza publicznego w rozumieniu przepisów kodeksu karnego, w ramach jego kompetencji, skierowana do innego podmiotu lub złożona do akt sprawy).
Trudność administratora danych może dotyczyć niepewności co do kwalifikacji dokumentu pokontrolnego jako dokumentu urzędowego. W tym zakresie pomocne może być orzeczenie NSA z 7 października 2009 r. (I OSK 209/09), zgodnie z którym „o tym, czy dany protokół z kontroli ma charakter dokumentu urzędowego (…) decyduje zawarta w nim informacja. Musi mieć ona charakter informacji, o jakiej mowa w art. 1 ust. 1 ustawy, a więc dotyczyć sprawy publicznej. Pojęcie sprawy publicznej można w pewnym sensie utożsamiać ze wszystkimi działaniami (zaniechaniami) podmiotów realizujących zadania zaliczone do szeroko rozumianego interesu publicznego”. Dla podjęcia decyzji o opublikowaniu wystąpienia pokontrolnego konieczne jest dokonanie powyższej analizy, a dopiero na jej podstawie należy podjąć rozważania pod kątem dopuszczalności ujawnienia zawartych w nim danych.
Dane zawarte w wystąpieniu pokontrolnym
Dokumentacja pokontrolna – w zależności od podmiotu przeprowadzającego kontrolę i przedmiotu tejże kontroli – może zawierać różne dane, w tym również dane osobowe w rozumieniu art. 4 pkt 1 rodo. Przykładowo ustawa z dnia 13 kwietnia 2007 r. o Państwowej Inspekcji Pracy stanowi w art. 31, że ustalenia kontroli dokumentowane są, z zastrzeżeniem art. 10, w formie protokołu zwierającego m.in.:
dane osoby legitymowanej;
informacje o osobach, w obecności których przeprowadzano kontrolę.
Z kolei zgodnie z art. 88 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych protokół kontroli przestrzegania przepisów o ochronie danych osobowych, prowadzonej przez Prezesa UODO powinien zawierać m.in.:
imię i nazwisko osoby reprezentującej kontrolowanego;
imię i nazwisko, stanowisko służbowe, numer legitymacji służbowej oraz numer imiennego upoważnienia kontrolującego;
w przypadku kontrolującego uczestniczącego w kontroli w ramach wspólnych operacji organów nadzorczych – imię i nazwisko, numer dokumentu potwierdzającego tożsamość oraz numer imiennego upoważnienia.
Innym przykładem są przepisy ustawy z dnia 29 sierpnia 1997 r. – Ordynacja podatkowa, zgodnie z którą protokół z kontroli podatkowej powinien m.in. wskazywać kontrolowanego i osoby kontrolujące (art. 290 § 2 tejże ustawy). W ostatnim przypadku wątpliwości może wzbudzać zakres danych, które podmiot powinien podać, aby „wskazać” kontrolowanego i kontrolującego. Wskazanie ma na celu jednoznaczne określenie podmiotu bądź osoby, w tym wypadku kontrolowanego i kontrolującego, tak aby nie było wątpliwości co do ich tożsamości. Podanie zbyt wielu danych, dotyczących osoby fizycznej, może naruszać zasadę minimalizacji danych określoną w art. 5 ust. 1 lit. c rodo.
Zgodnie z tą zasadą dane osobowe powinny być adekwatne, stosowne oraz ograniczone do tego co niezbędne do celów, w których są przetwarzane. Nie należy więc przetwarzać zarówno wszelkich danych dla tego celu nieistotnych, niemających znaczenia, jak i danych o „większym – niż uzasadniony z tego względu – stopniu szczegółowości”. Dlatego też, już dokonując samej czynności sporządzania wystąpienia pokontrolnego, należy mieć na uwadze zasadę minimalizacji danych. Skoro jednym z obligatoryjnych elementów wystąpienia pokontrolnego jest oznaczenie kontrolującego z imienia, nazwiska i numeru legitymacji służbowej, i to wystarczy do osiągnięcia celu, jakim jest oznaczenie tego kontrolującego, nie ma podstawy do tego, aby dodatkowo wpisywać w protokół numer i serię dowodu osobistego czy numer PESEL. Należy podkreślić, iż na podstawie przepisów udip, nakładających obowiązek publikowania w BIP wystąpień pokontrolnych oraz w związku z dookreśleniem elementów obligatoryjnych protokołu, wynikających z przepisów sektorowych, zostaje wypełniona legalna przesłanka przetwarzania danych osobowych zwykłej kategorii, o której mowa w art. 6 ust. 1 lit. c rodo (obowiązek prawny ciążący na administratorze danych).
Dla oceny prawidłowości udostępniania danych osobowych w dokumentacji pokontrolnej w BIP nie wystarczy zakwalifikowanie dokumentu jako dokumentu urzędowego podlegającego publikacji i stwierdzenie, że zakres danych osobowych w nim zawartych nie stoi w sprzeczności z zasadą minimalizacji danych. Następnie należy dokonać dokładnej analizy pod kątem wyważenia między prawem dostępu do informacji publicznej a prawem do ochrony danych osobowych. Przepisy o ochronie danych osobowych nie wyłączają stosowania przepisów udip, stanowią jednak, że przepisy krajowe powinny godzić prawo dostępu do informacji publicznej z prawem ochrony danych osobowych.
Zgodnie z treścią art. 86 rodo dane osobowe zawarte w dokumentach urzędowych (a więc, na podstawie powyższych rozważań, m.in. w wystąpieniu pokontrolnym), które posiada organ, podmiot publiczny lub podmiot prywatny w celu wykonania zadania realizowanego w interesie publicznym, mogą zostać przez ten podmiot ujawnione zgodnie z prawem UE lub prawem państwa członkowskiego, któremu podlegają ten organ lub podmiot. Również motyw 154 preambuły rodo podkreśla, że możliwe jest publiczne ujawnianie danych osobowych z dokumentów przechowywanych przez dany organ lub podmiot publiczny, jeżeli takie ujawnienie przewidziane jest przepisami prawa UE lub prawa państwa członkowskiego, któremu organ lub podmiot podlega. Na gruncie polskich przepisów o dostępie do informacji publicznej prawo to nie ma charakteru nieograniczonego.