w ^013

GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH

-

10 2 8 -

dr Wojciech R. Wiewiórowski

D OLiS - 033 - 70/13/M K / 6 0 ^ ^ V

W arszawa, dniai,2> października 201

S E C R E T A R I A S E K R E T A R Z A ST/ Jacka Mę c i n y

Pan Jacek M ęcina Sekretarz Stanu w M inisterstwie Pracy i Polityki Społecznej ul. Nowogrodzka 1/3/5 00-513 W arszawa

/T '3^

^ O

\p * k .

¿A

w odpowiedzi na pismo z dnia 4 października 2013 r. - znak: D RP-V III-02100-20(4)-JJ/13 w którym zaw arto w yjaśnienia do uwag Generalnego Inspektora Ochrony Danych Osobowych wobec projektu ustaw y o zm ianie ustawy o promocji zatrudnienia i instytucjach rynku pracy oraz niektórych innych ustaw, przedstawionych w piśmie z dnia 27 w rześnia 2013 r. (znak:

D OLiS-033-70/13/M K /63214)

uprzejmie

dziękuję

za

ustosunkowanie

się

do podniesionych w ątpliw ości. Jednocześnie poniżej pozwalam sobie przedstawić następujące uwagi w odniesieniu do argumentacji zaprezentowanej w ww. korespondencji. 1.

Generalny Inspektor w żadnej mierze nie kwestionuje obowiązku publicznych służby

zatrudnienia w zakresie realizacji zadań związanych z analizą sytuacji na rynku pracy, tak przez w ojew ódzkie urzędy pracy, których powinność do prow adzenia analiz rynku pracy i badania popytu na pracę w ynika z art. 8 ust. 1 pkt 3 ustawy z dnia 20 kw ietnia 2004 r. 0 promocji zatrudnienia i instytucjach rynku pracy (Dz. U. z 2013 r. poz. 674 z późn. zrn.), jak 1 powiatowe urzędy pracy, zobowiązane do opracowywania analiz i sprawozdań. Intencją uwagi organu do spraw ochrony danych osobowych było zwrócenie uwagi na fakt, że rozw ażając zakres udostępniania danych na rzecz podmiotów7 prowadzących badania

i analizy rynku pracy, należy przede wszystkim zdekodować w istniejacvm porządku prawnym normę prawna, z której jednoznacznie wynika obowiązek prow adzenia tych działań - tak, jak w przypadku publicznych służb zatrudnienia, które bez cienia wątpliw ości, mocą przepisów ustawy o promocji zatrudnienia i instytucjach pracy, obarczone zostały pow innością realizacji ww. zadań. Co więcej, taki przepis prawa powinien również stwierdzać, że w celu wypełniania tych obowiązków, owym podmiotom przysługuje dostęp do określonego rodzaju informacji i to informacji jedynie niezbędnych z punktu widzenia celu, w jakim organy podejm ują na nich przedsięwzięcia. Powoływanie przepisów w zakresie udzielania zam ów ień publicznych jako podstawy prawnej przetw arzania danych osobowych przez podm ioty niepubliczne prowadzące badania i analizy rynku pracy wydaje się zbyt daleko idącym stwierdzeniem . M ożliwość skorzystania z dobrodziejstw tychże przepisów nie powinna być bowiem utożsam iana z podstawą praw ną cedow ania istotnych zadań publicznych, które w iążą się z przetwarzaniem danych osobowych, na rzecz podm iotów niepublicznych. Podkreślana we wcześniejszej korespondencji zasada legalizm u (art. 7 Konstytucji Rzeczypospolitej Polskiej, art. 6 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania adm inistracyjnego, tj. Dz. U. z 2013 r. poz. 267) nie dotyczy organów niepublicznych. Tym samym, o ile publiczne służby zatrudnienia nie m ogą prowadzić działań nieprzewidzianych w przepisach czy z nimi niezgodnych, o tyle podobne zastrzeżenie nie odnosi się do tej drugiej kategorii podmiotów. Stwierdziwszy powyższe, organ do spraw ochrony danych osobowych zakłada, że publiczne służby, działając w ram ach przysługujących im kompetencji, postępują z właściwą im starannością, w tym w ramach posiłkowania się wsparciem podm iotów zewnętrznych w realizacji pew nych zadań, jednak powyższe nie daje gwarancji należytej

ochrony

przetwarzania danych przez owe podmioty zewnętrzne. Aby tę ochronę zapewnić, należy stosować takie same standardy przy przetwarzaniu danych dotyczących tych sam ych jednostek, w7 granicach tego samego procesu. Przyjęcie zaś rozwiązania, m ocą którego publiczne służby zatrudnienia m ają obowiązek działania zgodnie z ww. zasadą, tj. na podstaw ie i w granicach prawa, a nie odnosi się ona do podm iotów prowadzących badania i analizy rynku pracy prowadziłoby do różnego traktowania podmiotów przetwarzających niejednokrotnie - jak należy w nioskować z wyjaśnień przedstawianych w toku dotychczasowej korespondencji takie same dane dotyczące konkretnych osób bezrobotnych. Z taką zaś koncepcją organ do spraw ochrony danych osobowych zgodzić się nie może. Abstrahując

od

powyższego,

zaoponować

również

należy

przeciw ko

stwierdzeniu

Projektodawcy, w którym w wątpliwość poddaje on m ożliw ość i zasadność tworzenia

2

przepisów ustaw ow ych określających zakres danych osobowych udostępnianych podmiotom prowadzącym

badania

i

analizy

rynku

pracy

i

jednocześnie

wskazuje

umowę

na przeprow adzenie konkretnych badań zawieraną pomiędzy urząd pracy z konkretnym podmiotem jako jedyną w łaściw ą formę przesądzenia o tym zakresie. Nie wydaje się, aby niewykonalnym

przedsięw zięciem

było

zdekodowanie

zam kniętego

zasobu

informacji

0 osobach bezrobotnych i poszukujących pracy, który m ógłby być udostępniany na rzecz podm iotów badawczych. Sform ułowanie takiego katalogu wym aga jednak wnikliwej analizy celem ustalenia, jakie dane byłyby absolutnie niezbędne dla realizacji zadań polegających na ocenie skuteczności udzielanej pomocy lub poprawie funkcjonow ania publicznych służb zatrudnienia i w ym agających informacji o osobach bezrobotnych i poszukujących pracy. Powyższa jednak teza jest aktualna jedynie w razie wykazania, że na podm iotach badawczych spoczywałby - statuowany w przepisach rangi ustawowej - obow iązek realizacji ww. zadań. 2.

Rezygnacja z trybu w nioskowego udostępniania informacji z rejestru bezrobotnych

1 poszukujących pracy - jako podstawowego trybu udostępniania inform acji, obowiązującego dotychczas przy udostępnianiu danych przez powiatowe urzędy pracy (art. 33 ust. 7 ustawy 0 promocji zatrudnienia i instytucjach rynku pracy) - i przyjęcie go jako trybu awaryjnego, w łaściwego do zastosow ania jedynie w' przypadku braku m ożliw ości udostępnienia w trybie on-line, który stać m a się głównym trybem udostępniania informacji (projektowany art. 8 ust. Id i ust. le oraz art. 33 ust. 8 i ust. 8a ustawy o promocji zatrudnienia i instytucjach rynku pracy) nadal w zbudza wątpliwości. Ponadto wskazać należy, że Projektodawca odniósł się w przesłanej korespondencji do wersji niekonsultowanej z Generalnym Inspektorem , tj. z dnia 30 w rześnia 2013 r. skierowanej do rozpatrzenia przez Komitet Stały Rady M inistrów, w' szczególności w zakresie nowego m odelu tego dostępu. W rzeczonej wersji projektu proponuje się enigmatyczne 1 ogólne kryterium udostępniania, tj. posiadanie przez wojewódzki lub powiatowy urząd pracy oraz odpowiednio podm ioty wymienione w art. 8 ust. lc projektu oraz art. 33 ust. 7 projektu rozwiązań organizacyjnych oraz technicznych um ożliwiających zapewnienie rejestracji oraz rozliczalności

procesu

udostępniania

danych

w

systemach

teleinform atycznych.

Jak

sygnalizowano w poprzedniej korespondencji organu do spraw ochrony danych osobowych, dostęp on-line dopuszczany jest w obowiązujących przepisach na rzecz -

określonego

precyzyjnie i wrąsko - kręgu podmiotów, w w yjątkowych okolicznościach, uzasadnionych realizacją szczególnych zadań (np. Policji, Straży Granicznej, upraw nionym podmiotom wskazanym w ustawie z dnia 20 czerwca 1997 r. - Prawro o ruchu drogowym, tj. Dz. U.

z 2012 r. poz. 1137, z późn. zm.), przy czym ocena udostępnienia na rzecz tych służb określona w m odelu dostępu on-line poprzedzona jest ocena adm inistratora danvch dokonana w treści albo decyzji albo zawartej um ow y. W

przypadku

Policji,

podm iot prowadzący

działalność

telekom unikacyjną

udostępnia

nieodpłatnie dane telekom unikacyjne: 1) policjantowi wskazanem u w pisemnym wniosku Kom endanta Głównego Policji lub komendanta wojewódzkiego Policji albo osoby przez nich upoważnionej; 2) na ustne żądanie policjanta posiadającego pisem ne upow ażnienie osób, o których mowa w pkt

1; 3) za pośrednictwem

sieci telekom unikacyjnej

policjantowi

posiadającem u pisem ne upoważnienie osób, o których mowa w pkt 1 (art. 20 ust. 2 ustawy o Policji).

W

przypadku,

telekom unikacyjnych

o

odbywa

którym się

m ow a

bez

w

udziału

ust.

2

pkt

3,

pracow ników

udostępnianie

podm iotu

danych

prowadzącego

działalność telekom unikacyjną lub przy niezbędnym ich udziale, jeżeli możliw ość taka jest przew idziana w porozum ieniu zawartym pomiędzy Komendantem Głównym Policji a tym podmiotem,

(art.

20

ust.

2a

ustawy

o

Policji).

U dostępnienie

Policji

danych

telekom unikacyjnych może nastąpić za pośrednictwem sieci telekom unikacyjnej może zaś nastąpić, jeżeli w ykorzystyw ane sieci telekomunikacyjne zapewniają: a) m ożliw ość ustalenia osoby uzyskującej dane, ich rodzaju oraz czasu, w którym zostały uzyskane, b) zabezpieczenie techniczne i organizacyjne uniem ożliwiające osobie nieuprawnionej dostęp do danych; oraz 2) jest to uzasadnione specyfika lub zakresem zadań wykonywanych przez jednostki organizacyjne Policji albo prowadzonych przez nie czynności (art. 20 ust. 5 ustawy o Policji).

Należy ponadto zwrócić uwagę na konsekwencje, jakie przyjęcie takiego rozwiązania może rodzić po stronie stosujących te przepisy publicznych służb zatrudnienia na poziomie lokalnym. Rozwiązanie to może je stawiać w trudnej sytuacji, poniew aż nie daje im jasnych kryteriów badania legalności udostępnienia w trybie on-line i bezpieczeństw a tego procesu. Brak bedzie zatem ustawowej, jednoznacznej podstawy prawnej przesadzającej o tvch istotnych aspektach przetwarzania danych. Poprzez przyjęcie, że kw estie dotyczące zakresu, trybu oraz aspektów technicznych procesu udostępniania danych m ają być regulowane w porozum ieniach o udostępnieniu danych osobowych, zaw ieranych bezpośrednio pomiędzy administratorami danych uczestniczącymi w tym procesie, Projektodaw ca przerzuca ciężar rozstrzygnięcia co do legalności i bezpieczeństwa udostępnienia danych na służby zatrudnienia na szczeblu lokalnym . Powiatowe i wojewódzkie urzędy pracy, zarządzając danymi, w tym udostępniając

dane

z

prowadzonych

przez

siebie

zbiorów,

będą

ponosiły

pełną

odpowiedzialność za zapewnienie legalności i bezpieczeństwa tem u procesowi. Tymczasem

4

prawdopodobne

staje

się,

iż

wr procesie

podejm ow ania

rozstrzygnięcia

w

zakresie

udostępnienia danych będą one zm uszone skonfrontować się z następującym i, złożonymi problemami: 1) według jakich kryteriów badana będzie legalność i bezpieczeństwo udostępniania danych („posiadanie rozw iązań organizacyjnych i technicznych . .. ”) - ustaw odaw ca nie formułuje wszak jednoznacznych w ytycznych co do elementów' podlegających ocenie; 2) jakim konkretnie podm iotom dane osobowe mogą zostać udostępnione zgodnie z prawem katalog podm iotów je st sform ułow any szeroko i nieprecyzyjnie; 3) w jakim zakresie dane te m ają być udostępniane - na rzecz podm iotów prow adzących badania i analizy rynku pracy proponuje się ocenne kryterium „niezbędności do realizacji zadań” . Podkreślić

ponow nie

trzeba,

że

legalność,

zakres,

czy

też

bezpieczeństwo

przetw arzanych danych nie powinno być przedm iotem regulacji o randze podustawowej, wr szczególności aktu o charakterze porozumienia, którego postanow ienia m ogą być rozmaicie kształtowane w zależności od ustanawiającego je urzędu i podm iotu współpracującego. Rozw iązaniu takiem u sprzeciwiają się tak standardy konstytucyjne, jak i przepisy ustawy o ochronie danych osobowych. Dodatkowo nadal wątpliw e jest, czy zaproponowane przez Projektodawcę przepisy nie zostaną zinterpretowane jako podstaw a prawna obowiązku udostępnienia danych przez inne podmioty, które uzyskały inform acje o bezrobotnych i poszukujących pracy na w cześniejszym etapie (np. podm ioty prow adzące badania i analizy rynku pracy). 3.

W ątpliwości

Generalnego

Inspektora

budzi

w

dalszym

ciągu

brak

określenia

najistotniejszych kw estii zw iązanych z profilowaniem bezrobotnych w projektowanych przepisach ustawy o prom ocji zatrudnienia i instytucjach rynku pracy. Podkreślenia w;arte jest, iż profilowanie powinno być traktowane jako osobny proces, który jako ewidentnie prowadzący do naruszenia prywatności osób fizycznych, należałoby poddać zasadom ochrony danych osobowych i odnieść się do tego zagadnienia szczegółowo w tw orzonych przepisach ustawowych. Tym bardziej, że gestor rejestru centralnego, w którym praw dopodobnie znajdą się dane uzyskane w w yniku stosowania tego m echanizm u przez publiczne służby zatrudnienia na poziomie lokalnym, nie nadzoruje hierarchicznie działań starostów i urzędów^ pracy. Rozporządzenie nie powinno zaś służyć do regulacji materii, której konsekw encje wywierają znaczący wpływ w sferze prywatności osób fizycznych. Konsekwentnie podtrzym ać trzeba uwagę odnoszącą się do zasadności koncepcji, która

przewiduje pozbawienie statusu bezrobotnego osoby, która nie wyraziła zgody na określenie

profilu pomocy (projektowany art. 33 ust. 4 pkt la ustawy o promocji zatrudnienia i instytucjach rynku pracy). Pozyskiwanie zgody w sytuacji braku swobody jej wyrażenia (relacja obywatel - organ administracji publicznej) prowadzi do w ypaczenia tej konstrukcji. Konstatacji powyższej nie eliminuje stwierdzenie, iż „obywatele nie m ają obowiązku korzystania z pom ocy państw a w zakresie promocji zatrudnienia” . Tw orząc system wsparcia obywateli, nie powinno się tworzyć m echanizm ów zam ykających m ożliw ość skorzystania z określonych jego dobrodziejstw na podstawie odmowy poddania się m echanizm ow i o takim charakterze jak profilowanie, którego złożoność i stopień ingerencji w pryw atność jednostki, została

wskazana

w

piśmie

Generalnego

Inspektora

Ochrony

D anych

Osobowych

z dnia 13 sierpnia 2013 r. (znak: DOLiS-03370/13/M K/51620).

Przedstawiając

powyższe

i doceniając

zmiany

do

tej

pory

poczynione

przez

Projektodawcę w projektowanych przepisach ustawy o promocji zatrudnienia i instytucjach rynku pracy, Generalny Inspektor Ochrony Danych Osobowych w skazuje, iż projekt we w skazanym powyżej zakresie należy uznać za nieuzgodniony.

Do wiadomości:

F F

Centrum Legislacji

/

.na Szucha 2/4

0 Fax 22 694 66 08

6