Udostępnianie informacji w BIP-ie a przepisy RODO Opracował: Michał Łyszczarz, prawnik, główny specjalista w Wydziale Oświaty w Urzędzie Miasta w Dąbrowie Górniczej, współautor komentarza do Ustawy o systemie oświaty oraz szeregu publikacji z zakresu prawa oświatowego Podstawa prawna: • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. UE.L. z 2016 r. Nr 119 poz. 1), • Ustawa z dnia 6 września 2001 r. o dostępie do informacji publicznej (t.j. Dz.U. z 2019 r. poz. 1429), • Ustawa z dnia 14 grudnia 2016 r. Prawo oświatowe (t.j. Dz.U. z 2019 r. poz. 1148 ze zm.), • Ustawa z dnia 8 marca 1990 r. o samorządzie gminnym (t.j. Dz.U. z 2019 r. poz. 506 ze zm.), • Ustawa z dnia 26 stycznia 1982 r. Karta nauczyciela (t.j. Dz.U. z 2019 r. poz. 2215), • Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 18 stycznia 2007 r. w sprawie Biuletynu Informacji Publicznej (Dz.U. z 2007 r. Nr 10 poz. 68). Zgodnie z § 5 Rozporządzenia w sprawie Biuletynu Informacji Publicznej informacje publiczne zawarte w BIP-ie udostępnia się odwiedzającym BIP przez całą dobę bez przerwy, z wyjątkiem czasu ewentualnych awarii, których skutki nie powinny ograniczać dostępu do strony BIP-u dłużej niż osiem godzin. Co do zasady zatem informacja w BIP-ie powinna być dostępna bez żadnej przerwy. Pojawia się jednak pytanie, jak długo daną informację można w BIP-ie ogłaszać? Pytanie to jest zasadne zwłaszcza w kontekście dwóch uregulowań wynikających z przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO) – obowiązku przetwarzania danych przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane, oraz prawa do bycia zapomnianym. Zasady przetwarzania danych Podstawowe zasady przetwarzania danych znajdują się w rozdz. II RODO. Zgodnie z zawartym w nim art. 5 dane osobowe muszą być m.in. przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych bądź do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem, że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego Rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą („ograniczenie przechowywania”). Jedną z zasad jest zatem przetwarzanie przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane są przetwarzane. Po tym czasie dane osobowe powinny zostać usunięte, jeżeli nie ma podstaw, aby dalej widniały w BIP-ie. Pojawia się jednak pytanie, czy taki obowiązek może zostać spełnione w każdym przypadku. Powierzenie stanowiska dyrektora Zgodnie z art. 63 ust. 21 Ustawy Prawo oświatowe (dalej: upo.) stanowisko dyrektora szkoły powierza się na pięć lat szkolnych, a tylko w uzasadnionych przypadkach można je powierzyć na czas krótszy (min. jeden rok szkolny). Przyjmijmy jednak, że dyrektor sprawował tę funkcję tylko jedną kadencję. Po tym czasie nie startował w kolejnym konkursie lub też startował, lecz go nie wygrał. Przestał być dyrektorem, a funkcję tę sprawuje już inna osoba. Strona BIP-u szkoły zostaje więc zmieniona, wskazuje ona bowiem z imienia i nazwiska osobę, która aktualnie sprawuje funkcję dyrektora jednostki. Na stronie szkoły dane osobowe byłego dyrektora z reguły nie są już przetwarzane, co jednak nie oznacza, że nie można dowiedzieć się, jakie osoby w poszczególnych latach pełniły tę funkcję. Jest to możliwe z uwagi na fakt, że powierzenie stanowiska dyrektora następuje w drodze zarządzenia organu wykonawczego gminy – wójta, burmistrza, prezydenta miasta, które publikowane jest w BIP-ie. Wszystkie zarządzenia w sprawie powierzenia stanowiska dyrektora szkoły, wraz z danymi osobowymi nauczyciela, któremu to stanowisko powierzono, dostępne są na stronie BIP-u danego urzędu gminy. Czy tak być powinno? Czy dane osobowe nie powinny być usuwane z BIP-u właśnie po to, aby zrealizować wskazaną wyżej zasadę przetwarzania danych, czyli przetwarzania przez okres nie dłuższy niż czas niezbędny do realizacji celów, dla których dane są przetwarzane? Jeżeli określona osoba (będąca lub niebędąca nauczycielem) przestała pełnić funkcję dyrektora, to tym samym przestał istnieć również powód przetwarzania danych, a w takim przypadku RODO nakazuje ich usunięcie. Okazuje się jednak, że ten konkretny wymóg RODO nie może zostać zrealizowany w przypadku niektórych czynności, w tym publikacji zarządzeń wójta (burmistrza, prezydenta miasta). Ogólny obowiązek usuwania danych po ustaniu powodu ich przetwarzania musi w tym wypadku ustąpić przed obowiązkiem szczególnym – publikacji uchwał rady gminy i zarządzeń wójta w BIP-ie. Z czego ten obowiązek wynika? Ustawa o dostępie do informacji publicznej umożliwia pozyskanie informacji nie tylko na wniosek, ale również nakazuje udostępnianie informacji publicznej z urzędu, a źródłem tak udostępnionej informacji jest właśnie BIP. Urząd gminy ma obowiązek publikacji w BIP-ie informacji wskazanych w art. 8 ust. 3 Ustawy o dostępie do informacji publicznej, zgodnie z którym udostępnieniu podlega informacja o: • polityce wewnętrznej i zagranicznej, w tym o: o zamierzeniach działań władzy ustawodawczej oraz wykonawczej, o projektowaniu aktów normatywnych, o programach w zakresie realizacji zadań publicznych, sposobie ich realizacji, wykonywaniu i skutkach realizacji tych zadań; • podmiotach, w tym o: o statusie prawnym lub formie prawnej, o organizacji, o przedmiocie działalności i kompetencjach, o organach i osobach sprawujących w nich funkcje i ich kompetencjach, o strukturze własnościowej, o majątku, którym dysponują; • zasadach funkcjonowania podmiotów, w tym o: o trybie działania władz publicznych i ich jednostek organizacyjnych, o trybie działania państwowych osób prawnych i osób prawnych samorządu terytorialnego w zakresie wykonywania zadań publicznych i ich działalności w ramach gospodarki budżetowej i pozabudżetowej, o sposobach stanowienia aktów publicznoprawnych, o sposobach przyjmowania i załatwiania spraw, o stanie przyjmowanych spraw, kolejności ich załatwiania lub rozstrzygania, o prowadzonych rejestrach, ewidencjach i archiwach oraz o sposobach i zasadach udostępniania danych w nich zawartych, o naborze kandydatów do zatrudnienia na wolne stanowiska, w zakresie określonym w przepisach odrębnych; • danych publicznych, w tym: o dokumentacja przebiegu i efektów kontroli oraz wystąpienia, stanowiska, wnioski i opinie podmiotów ją przeprowadzających, o treść innych wystąpień i ocen dokonywanych przez organy władzy publicznej, o informacja o stanie państwa, samorządów i ich jednostek organizacyjnych; • majątku publicznym. Powyższe regulacje nie wymieniają zarządzeń wójta czy uchwał rady gminy wśród aktów podlegających obowiązkowemu opublikowaniu w BIP-ie, co mogłoby wskazywać, że dane osobowe nauczycieli, którzy zakończyli pełnienie funkcji dyrektora szkoły, faktycznie mogą zostać z BIP-u usunięte. Z dwóch powodów tak jednak nie jest. Przywołany katalog informacji publikowanych w BIP-ie nie ma charakteru zamkniętego. Zgodnie z art. 8 ust. 3 Ustawy o dostępie do informacji publicznej w BIP-ie mogą być udostępnione również inne informacje. Obowiązek publikacji zarządzeń wójta może zatem wynikać ze statutu danej gminy. Jeżeli tak nie jest, to zarządzenie nadal stanowi informację publiczną, a zatem jeśli nie będzie udostępnione w BIP-ie, to musi zostać udostępnione na wniosek. Taka zasada wynika z kolei z art. 11b Ustawy o samorządzie gminnym, zgodnie z którym działalność organów gminy jest jawna, a ograniczenia jawności mogą wynikać wyłącznie z ustaw, przy czym nie ma regulacji, które wyłączałyby jawność zarządzeń wójta. Jawność działania organów gminy obejmuje w szczególności prawo obywateli do uzyskiwania informacji, wstępu na sesje rady gminy i posiedzenia jej komisji, a także dostępu do dokumentów wynikających z wykonywania zadań publicznych, w tym protokołów posiedzeń organów gminy i komisji rady gminy. Dostęp do dokumentów oznacza również dostęp do uchwał i zarządzeń. Nie ma przy tym znaczenia, że dokumenty te nie są obligatoryjnie umieszczane w BIP-ie, i tak bowiem stanowią informację publiczną. Większość gmin, jeżeli nie wszystkie, udostępnia zarządzenia wójta i uchwały w BIP-ie, ponieważ jest to bardziej racjonalna metoda udostępniania niż wysyłka pocztą danego zarządzenia czy uchwały każdemu zainteresowanemu. W efekcie dane osobowe byłego dyrektora pozostają udostępnione w BIP-ie bezterminowo. Co więcej, procedura wyłaniania kandydatów na dyrektorów powoduje, że w BIP-ie będą również bezterminowo udostępnione dane osobowe członków komisji konkursowej wybierającej kandydata na dyrektora. Zgodnie z art. 63 ust. 14 upo. komisja konkursowa liczy: • po trzech przedstawicieli: o organu prowadzącego szkołę, o organu sprawującego nadzór pedagogiczny; • po dwóch przedstawicieli: o rady pedagogicznej, o rady rodziców; • po jednym przedstawicielu organizacji związkowych reprezentatywnych w rozumieniu Ustawy o Radzie Dialogu Społecznego, wyłonionym spośród członków ich jednostek organizacyjnych albo jednostek organizacyjnych organizacji związkowych wchodzących w skład reprezentatywnych organizacji związkowych, zrzeszających nauczycieli, obejmujących swoim zakresem działania szkoły, w którym konkurs się odbywa. Komisja konkursowa może liczyć łącznie ponad 10 osób, a ich dane pozostają uwidocznione w BIP-ie, mimo że cel ich przetwarzania już dawno został zrealizowany. Prawo do bycia zapomnianym Wiele gmin przyznaje roczną nagrodę wójta dla nauczycieli również w drodze zarządzenia. Zasada ta może wynikać z regulaminu wynagradzania nauczycieli lub z odrębnej uchwały podejmowanej na podstawie art. 49 ust. 2 KN, zgodnie z którym organy prowadzące ustalają kryteria i tryb przyznawania nagród dla nauczycieli za ich osiągnięcia w zakresie pracy dydaktycznej, wychowawczej i opiekuńczej, w tym realizacji zadań związanych z zapewnieniem bezpieczeństwa dzieciom w czasie zajęć, oraz realizacji innych zadań statutowych, ze środków specjalnego funduszu nagród, uwzględniając w szczególności sposób podziału środków na nagrody organów prowadzących i dyrektorów, tryb zgłaszania kandydatów do nagród oraz zasadę, że nagroda może być przyznana nauczycielowi po przepracowaniu w szkole co najmniej roku. Zarządzenie może więc zawierać dane osobowe nauczycieli wytypowanych do nagrody wójta (burmistrza, prezydenta). Co za tym idzie dane – te będą przechowywane w BIP-ie bezterminowo. Jak pogodzić takie bezterminowe udostępnienie z prawem do bycia zapomnianym? Jednym z podstawowych praw osób, których dane są przetwarzane, wynikających z RODO, jest prawo do bycia zapomnianym. Zgodnie z art. 17 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzi jedna z następujących okoliczności: • dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane, • osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a, i nie ma innej podstawy prawnej przetwarzania, • osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne, prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania, • dane osobowe były przetwarzane niezgodnie z prawem, • dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator, • dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1. Jedną z przesłanek realizacji prawa do bycia zapomnianym jest zatem fakt, że dane nie są niezbędne do realizacji celów, do których zostały zebrane. Czy były dyrektor – podobnie jak członkowie komisji konkursowej bądź nagrodzeni nauczyciele – może to prawo zrealizować? Niestety nie. Nie pozwalają na to, po pierwsze, wspomniana wcześniej zasada jawności działania organów gminy, z której wynika obowiązek bezterminowej publikacji zarządzeń wójta, po drugie – wyłączenia realizacji prawa do bycia zapomnianym wskazane w art. 17 ust. 3 RODO. Prawo to nie ma zastosowania w zakresie, w jakim przetwarzanie danych jest niezbędne: 1) do korzystania z prawa do wolności wypowiedzi i informacji, 2) do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, 3) z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego zgodnie z art. 9 ust. 2 lit. h oraz i, a także art. 9 ust. 3, 4) do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych bądź do celów statystycznych zgodnie z art. 89 ust. 1, o ile prawdopodobne jest, że prawo, o którym mowa w ust. 1, uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania, 5) do ustalenia, dochodzenia lub obrony roszczeń. Na przeszkodzie do usunięcia danych stoi zatem przede wszystkim punkt drugi i czwarty – obowiązek wywiązania się wójta z prawnego obowiązku publikacji w BIP-ie zarządzeń, jak również konieczność przetwarzania danych w celach archiwalnych. Ważne! Reasumując, pełnienie funkcji publicznej, branie udziału w komisji wybierającej dyrektora, ale też otrzymanie nagrody wójta powodują, że prawo do bycia zapomnianym zostaje w praktyce wyłączone. Oświadczenia majątkowe Oczywiście nie wszystkie dane są udostępniane w BIP-ie bezterminowo. Obowiązek usuwania dotyczy choćby oświadczeń majątkowych dyrektorów. Zgodnie z art. 24i ust. 1 Ustawy o samorządzie gminnym informacje zawarte w oświadczeniu majątkowym są jawne, z wyłączeniem informacji o adresie zamieszkania składającego oświadczenie oraz o miejscu położenia nieruchomości. Obowiązek publikacji w BIP-ie oświadczenia wynika natomiast z ust. 3 przywołanej regulacji. Oświadczenie nie jest jednak zarządzeniem organu gminy, nie jest przyjmowane w tej formie, natomiast ma do niego zastosowanie art. 24h ust. 6 Ustawy o samorządzie gminnym. Zgodnie z tą regulacją oświadczenie majątkowe przechowuje się przez sześć lat. Po tym czasie przestaje istnieć wynikający w przepisów prawa obowiązek przetwarzania danych zawarty w oświadczeniu, w związku z czym oświadczenie powinno zostać z BIP-u usunięte.