GIODO do europosła: popraw formularz na stronie

Mamy sporo wątpliwości dotyczących ochrony danych osobowych w serwisach internetowych, dlatego pozwoliłem sobie niniejszym przywołać "Sygnalizację Generalnego Inspektora Ochrony Danych Osobowych z dnia 8 stycznia 2008 r., dotyczącą wyeliminowania nieprawidłowości w procesie przetwarzania danych osobowych pozyskiwanych za pomocą formularza zamieszczonego na stronie internetowej". Ten list, jest interesujący również dlatego, że został wysłany do jednego z "naszych" eurodeputowanych. Szkoda, że trafiłem na niego dopiero teraz, ale lepiej późno niż wcale.

Sygnalizacja (sygn. DOLiS-035-47/07/330/08) dostępna jest online, w formacie PDF, a ja poniżej pozwolę sobie na jej zacytowanie w innym, bardziej dostępnym (mam nadzieję) formacie. Przy okazji warto zauważyć, że udostępniając materiał na swojej stronie GIODO nie umieścił w nim nazwiska europosła, ani też adresu strony internetowej, o którą chodzi. Wiadomo jedynie, że list do posła do Parlamentu Europejskiego został przez GIODO wysłany 8 stycznia 2008 r. (a więc minęło trochę czasu).

zwracam się o podjęcie działań mających na celu wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych pozyskiwanych za pomocą formularza zamieszczonego na stronie internetowej www i dostosowanie go do wymogów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.).

Impulsem do niniejszego wystąpienia było zawiadomienie pozyskane przez Generalnego Inspektora Ochrony Danych Osobowych oraz informacje zawarte na stronie internetowej www, z których wynika, iż osoby zainteresowane przesyłaniem do Pana Posła korespondencji drogą elektroniczną obowiązane są wpisać w formularzu zamieszczonym na wymienionej wyżej stronie internetowej swoje dane osobowe w zakresie imienia i nazwiska, wieku, adresu e-mail, a także wskazać województwo, na terenie którego mieszkają. Wspomniany formularz zawiera również pola, w których (fakultatywnie) nadawca korespondencji może wpisać nazwę miasta, w którym mieszka oraz numer telefonu stacjonarnego i komórkowego. Ponadto warunkiem przesłania korespondencji jest wyrażenie przez nadawcę zgody na przetwarzanie jego danych osobowych, które następuje poprzez zaznaczenie pola „x” usytuowanego obok formuły zgody w brzmieniu: „Wyrażam zgodę na wykorzystanie i przetwarzanie moich danych osobowych przez Y, w rozumieniu ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 1997 r. nr 133 poz. 883).”

Wobec powyższego informuję, iż stosownie do art. 7 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), przez zgodę osoby, której dane dotyczą, rozumie się oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Jednocześnie należy podkreślić, że zgoda na przetwarzanie danych osobowych powinna odnosić się do skonkretyzowanego stanu faktycznego i precyzować sposób i cel ich przetwarzania. Powyższe stanowisko potwierdził Naczelny Sąd Administracyjny, który w uzasadnieniu wyroku z dnia 4 kwietnia 2003 r. (sygn. akt II SA 2135/02) orzekł, iż „(...) wyrażający zgodę musi mieć w momencie jej zawarcia świadomość tego, co kryje się pod tym pojęciem.” Dalej czytamy również, że „(...) zgoda musi mieć charakter wyraźny, a jej wszystkie aspekty muszą być jasne dla podpisującego w momencie jej wyrażania.” Mając na uwadze powyższe oraz to, iż w treści formuły zgody opublikowanej na stronie internetowej wwwl nie został określony cel przetwarzania danych osobowych, wskazać należy, iż formuła ta nie odpowiada wymogom ustawy o ochronie danych osobowych. Z treści formuły zgody na przetwarzanie danych osobowych powinno bowiem w sposób nie budzący wątpliwości wynikać, w jakim celu pozyskiwane dane osobowe będą przetwarzane.

Na marginesie wskazuję również, iż zamieszczona w treści przytoczonej powyżej formuły zgody na przetwarzanie danych osobowych informacja o publikatorze ustawy o ochronie danych osobowych (tzw. metryczka) jest nieaktualna, bowiem tekst jednolity tej ustawy został opublikowany w Dzienniku Ustaw z 2002 r. Nr 101, poz. 926. W późniejszym okresie ustawa ta była także zmieniana, w związku z czym aktualna informacja o jej publikatorze powinna brzmieć: „Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.”

Ponadto proces przetwarzania danych, w tym ich pozyskiwania, powinien przebiegać przy zachowaniu także innych zasad określonych w przepisach ustawy o ochronie danych osobowych. Zasady te mają formę podstawowych obowiązków, jakie powinien spełnić każdy administrator danych. Z treści przepisu art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych wynika, iż administrator danych powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, w szczególności jest obowiązany zapewnić, aby dane te były adekwatne w stosunku do celów, w jakich są przetwarzane. Przepis ten wyraża zasadę adekwatności przetwarzania danych osobowych co oznacza, iż administrator danych nie powinien zbierać danych osobowych o większym – niż jest to uzasadnione celem przetwarzania danych – stopniu szczegółowości. Powyższe stanowisko zostało potwierdzone przez Wojewódzki Sąd Administracyjny w Warszawie, który w wyroku z dnia 1 grudnia 2005 r. (sygn. akt II SA/Wa 917/2005) stwierdził, że „Adekwatność danych w stosunku do celu ich przetwarzania powinna być rozumiana jako równowaga pomiędzy uprawnieniem osoby do dysponowania swoimi danymi a interesem administratora danych. Administrator danych nie może w żaden sposób stawiać swego interesu ponad dobro osoby, której dane przetwarza. Równowaga będzie zachowana, jeżeli administrator zażąda danych tylko w takim zakresie, w jakim to jest niezbędne do wypełniania celu, w jakim dane są przez niego przetwarzane.”

Zważywszy na powyższe, jeżeli dane osobowe nadawców kierowanej do Pana Posła korespondencji są przetwarzane jedynie w celu udzielenia odpowiedzi w związku ze zgłaszanymi sprawami, to pozyskiwanie takich danych, jak wiek, nazwa miejscowości i województwa, na terenie którego znajduje się miejsce zamieszkania nadawcy korespondencji, oraz należący do niego numer telefonu (stacjonarnego i komórkowego), zdaje się prowadzić do naruszenia powoływanej zasady adekwatności, a tym samym stanowi naruszenie obowiązujących w tej mierze przepisów. Wątpliwe jest bowiem, by do udzielenia odpowiedzi w każdej zgłoszonej sprawie konieczne było udostępnienie przez nadawcę korespondencji jego danych osobowych we wskazanym powyżej zakresie.

Ponadto z analizy informacji zawartych na stronie internetowej www. wynika, iż nie został dopełniony obowiązek określony w art. 24 ust. 1 ustawy o ochronie danych osobowych. Zgodnie z powołanym przepisem w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna – o miejscu swojego zamieszkania oraz imieniu i nazwisku; celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych; prawie wglądu do swoich danych oraz ich poprawiania; dobrowolności albo obowiązku podania
danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. W art. 24 ust. 2 ustawy o ochronie danych osobowych wymienione zostały przesłanki zwalniające od powołanego obowiązku, jednakże nie będą one miały zastosowania w omawianej sprawie.

Niezależnie od powyższego wyjaśniam, iż na administratorze danych spoczywają również inne obowiązki określone w przepisach ustawy o ochronie danych osobowych oraz wydanych na jej podstawie aktów wykonawczych. Należą do nich:

1. obowiązek dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, poprzez zapewnienie, aby dane były przetwarzane zgodnie z prawem, zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane, przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania (art. 26 ustawy o ochronie danych osobowych),
2. obowiązek respektowania praw osób, których dane dotyczą, określonych w rozdziale 4 ustawy o ochronie danych osobowych,
3. obowiązek zastosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy, zmianą, utratą, uszkodzeniem lub zniszczeniem, o których mowa w art. 36 – 39 ustawy o ochronie danych osobowych, zaś w przypadku przetwarzania danych w systemie informatycznym – w przepisach rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024),
4. wynikający z art. 40 ustawy o ochronie danych osobowych obowiązek zgłoszenia zbioru danych osobowych do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych, z wyjątkiem przypadków, o których mowa w art. 43 ust. 1 pkt 1 – 11 tej ustawy.

W związku z zasygnalizowanymi powyżej nieprawidłowościami zwracam się do Pana Posła o dostosowanie procesu przetwarzania danych osobowych pozyskiwanych za pomocą formularza zamieszczonego na stronie internetowej www. do wymogów ustawy
o ochronie danych osobowych oraz o poinformowanie mnie o podjętych w tym zakresie działaniach.

Prawda, że interesujący list?