Source: http://absta.pl/pytanie-czy-naley-zawrze-umow-o-powierzenie-danych-osobowych-p.html
Timestamp: 2018-09-23 16:00:30
Legal References Found: art. 31
 art.110
 art. 20
 art. 7
 art. 7
 art. 31
 art.110
 art. 20
 art. 268

Document Content:
Czy należy zawrzeć umowę o powierzenie danych osobowych pomiędzy Kierownikiem Gminnego Ośrodka Pomocy Społecznej, a Wójtem Gminy w sytuacji odbierania i wysyłania korespondencji GOPS przez kancelarię Urzędu Gminy?
Kierownik Gminnego Ośrodka Pomocy Społecznej jako administrator danych zawartych w ewidencji korespondencji może z uwagi na powierzenie zadań obsługi korespondencji pracownikowi urzędu gminy zawrzeć z Wójtem Gminy umowę o powierzenie przetwarzania danych osobowych na zasadach określonych w ustawie o ochronie danych osobowych.
Przesyłki pocztowe adresowane do Gminnego Ośrodka Pomocy Społecznej, odbierane, rejestrowane i wysyłane będą przez pracownika kancelarii urzędy gminy. Pracownik ten nie podlega Kierownikowi Gminnego Ośrodka Pomocy Społecznej, a Wójtowi Gminy. Na w/w okoliczność Kierownik Gminnego Ośrodka Pomocy Społecznej utworzył i zarejestrował zbiór danych osobowych, którego jest administratorem. Przepis art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 133, poz. 833 z 1997 r. z późn. zm.) pozwala administratorowi danych powierzyć ich przetwarzanie w ramach umowy innemu podmiotowi. Zawieranie takiej umowy z Wójtem Gminy staje jednak w sprzeczności, zdaniem pytającego, z art.110 ust. 7 ustawy z dnia 12 marca 2004 r. o pomocy społecznej (Dz. U. Nr 175, poz. 1362 z 2009 r. z późn. zm.) i art. 20 ust. 2 i 3 ustawy z dnia 28 listopada 2003 r. o świadczeniach rodzinnych (Dz. U. z 2006 r., Nr 139, poz. 992 z późn. zm.), na mocy których Wójt Gminy upoważnia Kierownika Gminnego Ośrodka Pomocy Społecznej do wydawania decyzji administracyjnych w sprawach indywidualnych z zakresu j.w. należących do właściwości Gminy, w imieniu której działa Wójt Gminy. Z uwagi na powyższe pojawiły się wątpliwości, co do toku działania, w sytuacji wprowadzenia takiego schematu przyjmowania i wysyłania przesyłek pocztowych, by nie spowodować zaniedbań w zakresie ustawy o ochronie danych osobowych.
ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2002 r. Nr 101, poz. 926 z późn.zm.)
ustawa z dnia 8 marca 1990 r. o samorządzie gminnym (t.j. Dz.U. z 2001 r. Nr 142, poz. 1591 z późn.zm.)
ustawa z dnia 14 czerwca 1960 r Kodeks postępowania administracyjnego (t.j. Dz.U. z 2013 r. poz. 267 z późn.zm.)
ustawa z dnia 12 marca 2004 r. o pomocy społecznej (t.j. Dz.U. z 2013 r. poz. 182)
ustawa z dnia 28 listopada 2003 r. o świadczeniach rodzinnych (Dz. U. z 2006 r., Nr 139, poz. 992 z późn. zm.)
W pierwszej kolejności wskazać należy, iż przedstawione pytanie odnosi się do powierzenia pracownikowi urzędu gminy wysyłania i przyjmowania korespondencji gminnego ośrodka pomocy społecznej oraz jej rejestrowanie. O ile sama czynność wysyłania i przyjmowania korespondencji ograniczona do technicznego przyjmowania i wydawania przesyłek pocztowych nie leżałaby raczej w zakresie regulacji ustawy o ochronie danych osobowych, to sytuacja związana z prowadzeniem, rejestrowaniem ww. przesyłek budzi już na tym gruncie poważne wątpliwości. Chodź i w pierwszym przypadku ograniczonym wyłącznie do obiegu zamkniętej korespondencji należałoby rozważyć zabezpieczenie danych osobowych przed dostępem osób nieuprawnionych od momentu przygotowania przesyłki do momentu nadania jej u operatora pocztowego. Natomiast wprowadzenie elementu rejestrowania przesyłek budzi już dalej idące wątpliwości, co do zakresu stosowania do przedstawionego stanu faktycznego regulacji ustawy o ochronie danych osobowych. Stanowisko w tej sprawie na swoich urzędowych stronach przedstawił Generalny Inspektor Ochrony Danych Osobowych. Stwierdził on, iż rejestr przychodzących i wychodzących pism jest zbiorem danych osobowych w rozumieniu ustawy o ochronie danych osobowych, podlegającym obowiązkowi zgłoszenia do GIODO (http://www.giodo.gov.pl/1520049/id_art/2834/j/pl/). Generalny Inspektor wskazał, iż zgodnie z definicją zawartą w art. 7 pkt 1 ustawy o ochronie danych osobowych przez zbiór danych rozumie się „każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego, czy zestaw jest rozproszony lub podzielony funkcjonalnie”. Zdaniem GIODO cechą pozwalającą na wyróżnienie zbioru danych od innego zestawu danych jest struktura, a więc uporządkowanie danych, pozwalające na wyszukanie danych według wskazanego kryterium. Zdaniem sporządzającego niniejszą opinię powyższe stanowisko, na gruncie obowiązujących przepisów prawa zasługuje na aprobatę. Oznacza to, iż prowadzenie ewidencji poczty wychodzącej i przychodzącej stanowi zbiór w rozumieniu ustawy o ochronie danych osobowych. W dalszej kolejności należy zastanowić się nad tym, kto jest administratorem danych dla takiego zbioru. Na gruncie ustawowej definicji, zawartej w art. 7 pkt 4 ustawy o ochronie danych osobowych, administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, decydujące o celach i środkach przetwarzania danych osobowych. Gminny Ośrodek Pomocy Społecznej jest jednostką organizacyjną gminy. Zdaniem sporządzającego niniejszą opinię powoduje to niemożność wskazania in abstracto kto jest administratorem danych dla rozważanego zbioru danych. Nie można bowiem wykluczyć sytuacji, w której gmina poprzez swój organ stanowiący tj. radę, nadając jednostce gminy ramy organizacyjne, pozostawi kwestie związane z obsługą korespondencji jednostki w gestii właściwego pracownika urzędu gminy, odpowiadającego za wykonywanie tego rodzaju czynności wobec urzędu. Rozwiązanie takie, zdaniem sporządzającego niniejszą opinię, nie byłoby sprzeczne z obowiązującymi przepisami prawa i znajdowałoby uzasadnienie np. w przypadku niewielkich gmin, w których tworzenie odrębnych struktur obsługi korespondencji w urzędzie gminy i GOPSie byłoby organizacyjnie oraz ekonomicznie nieuzasadnione. W takim przypadku wydaje się, iż administratorem danych zwartych w ewidencji korespondencji byłby wójt, który powinien wydać stosowne upoważnienie do przetwarzania danych osobowych pracownikowi urzędu odpowiedzialnemu za wykonywanie ww. zadań oraz odpowiednio w niezbędnym zakresie Kierownikowi i pracownikom GOPSu. Wydaje się jednak, iż w przedstawionym stanie faktycznym mamy do czynienia z sytuacją, w której formalnie obsługa korespondencji pozostawiona została w zakresie wewnętrznego funkcjonowania GOPSu. Świadczy o tym okoliczność, iż jak wskazano w pytaniu, Kierownik GOPS zgłosił powyższy zbiór do rejestru GIODO. Z tego względu wskazać należy, iż taki stan rzeczy powoduje, że za administratora danych osobowych należy uznać ww. Kierownika GOPSu. Na gruncie obowiązującej ustawy o ochronie danych osobowych, administratorem danych jest nie tylko samodzielny organ, ale może być nim także jednostka organizacyjna. Jak wskazuje się w doktrynie prawa, podmioty ze sfery publicznej przetwarzają dane osobowe dla wykonywania określonych prawem zadań, co oznacza, że nie mogą samodzielnie decydować o wykorzystywaniu zbieranych danych. Zakres przetwarzania danych wynika w ich przypadku bowiem z przepisów prawa. Jest to oczywista konsekwencja konstytucyjnych podstaw funkcjonowania administracji publicznej, a konkretnie zasady praworządności. Tak więc to zakres kompetencji przysługujących konkretnemu podmiotowi ze sfery prawa publicznego będzie w każdym przypadku wyznaczał zakres dopuszczalnych czynności przetwarzania danych osobowych przez ten podmiot, a także determinował status podmiotu przetwarzającego dane z punktu widzenia pojęcia administratora danych osobowych (zob. P. Barta, P. Litwiński, Ustawa o ochronie danych osobowych, Legalis). Wobec powyższego, jeżeli w okolicznościach danego przypadku GOK posiada autonomiczne uprawnienia w zakresie zasad przetwarzania i zabezpieczenia zbioru danych w postaci ewidencji korespondencji, zdaniem sporządzającego niniejszą opinię, powinien zostać uznany za administratora danych tego zbioru. Powyższe powoduje, iż przekazanie uprawnień do przetwarzania danych w tym zbiorze oraz nadawania i odbierania przesyłek od operatora pocztowego wymaga, na gruncie ustawy o ochronie danych osobowych, zawarcia stosownej umowy o powierzenie danych z urzędem gminy, a bardziej prawidłowo z wójtem gminy na podstawie art. 31 ustawy o ochronie danych osobowych. Nie stoją temu na przeszkodzie wspomniane w zapytaniu art.110 ust. 7 ustawy o pomocy społecznej i art. 20 ust. 2 i 3 ustawy o świadczeniach rodzinnych. Przepisy te, zdaniem sporządzającego niniejszą opinię, nie stanowią żadnej przeszkody do zawarcia ww. umowy o powierzenie danych osobowych. Stanowią one bowiem upoważnienie do przeniesienia, w drodze stosownego upoważnienia, kompetencji organu administracji publicznej na Kierownika GOPSu. Jednak w doktrynie słusznie wskazuje się, iż upoważnienie do przetwarzania danych osobowych powinno mieć charakter upoważnienia odrębnego od łączącego strony stosunku prawnego pomiędzy osobą mającą przetwarzać dane osobowe, a administratorem danych. Podobnie nie można również samego faktu udzielenia przez organ administracji publicznej upoważnienia pracownika do załatwiania spraw w trybie art. 268a ustawy kodeks postępowania administracyjnego utożsamiać z upoważnieniem tego pracownika do przetwarzania danych osobowych. Samo więc upoważnienie do przetwarzania danych osobowych nie ma bezpośredniego odzwierciedlenia w zakresie przekazanych danemu podmiotowi uprawnień sfery administracyjnej (zob. P. Barta, P. Litwiński, Ustawa o ochronie danych osobowych, Legalis). Jak wspomniano wcześniej kierownik GOPSu jest administratorem danych gromadzonych w ewidencji korespondencji, a tym samym, to czy organ administracji, czyli w tym przypadku wójt, scedował na kierownika wskazane w zapytaniu obowiązki nie powoduje bezpośredniego skutku na gruncie ustawy o ochronie danych osobowych. Oznacza to, zdaniem sporządzającego niniejszą opinię, iż nie ma przeszkód prawnych do zawarcia pomiędzy Kierownikiem GOPSu i Wójtem Gminy umowy o powierzenie przetwarzania danych osobowych w zakresie ewidencji korespondencji. Należy bowiem podkreślić, iż obok wskazanych w zapytaniu uprawnień, gminny ośrodek pomocy społecznej, jako jednostka organizacyjna, realizuje szereg innych zadań pomocy społecznej gminy.
P. Barta, P. Litwiński, Ustawa o ochronie danych osobowych, Legalis;
http://www.giodo.gov.pl/1520049/id_art/2834/j/pl/