O (pilnej?) potrzebie dyskusji na temat jawności, re-use i ochrony danych osobowych z publicznych źródeł

"Jeśli Pani Rzecznik wyrazi wolę rozpoczęcia dyskusji na temat jawności informacji w polskim porządku prawnym, proponuję by Rzecznik Praw Obywatelskich i Generalny Inspektor Ochrony Danych Osobowych wspólnie wystąpili w tej sprawie do Prezydenta RP, Prezesa Rady Ministrów i ewentualnie Marszałka Sejmu. Takie wspólne wystąpienie mogłoby przyczynić się do nadania dyskusji naukowej odpowiedniej rangi praktycznej i spowodować, że jej wyniki byłyby możliwe do bezpośredniego wykorzystania w procesie stanowienia prawa."

- Dr Wojciech R. Wiewiórowski, Generalny Inspektor Ochrony Danych Osobowych, w liście z dnia 22 sierpnia 2011 r. do Prof. Ireny Lipowicz, Rzecznika Praw Obywatelskich.

List ów jest odpowiedzią na wcześniejszy list RPO w sprawie nowelizacji ustawy o dostępie do informacji publicznej. Ściśle rzecz ujmując - jest to odpowiedź na Wystąpienie do Generalnego Inspektora Ochrony Danych Osobowych oraz Przewodniczącego Komisji Administracji i Spraw Wewnętrznych Sejmu RP w sprawie rozwiązań proponowanych w projekcie nowelizacji ustawy o dostępie do informacji publicznej, dotyczących ponownego wykorzystania informacji sektora publicznego, które RPO wystosowała 12 sierpnia 2011 roku (Sygn. RPO/548554/07/I/105.2 RZ).

Podnoszę ten temat dziś i na wstępie sygnalizuję, że reprezentuję w tej dyskusji konkretny projekt i punkt widzenia, zatem mogę nie być obiektywny. W czym rzecz? W ramach Fundacji ePaństwo moglibyśmy wykorzystać dane z Krajowego Rejestru Sądowego, by - przykładowo - powiązać aktywność gospodarczą posłów z ich aktywnością polityczną. Technicznie jest to do zrobienia i - jak uważam - realizowałoby ważny cel społeczny. Ale pojawia się problem. Problem ów najlepiej chyba ilustruje zapadły w czerwcu zeszłego roku wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie (Sygn. akt II SA/Wa 720/11).

Jest sobie spółka, która postanowiła wykorzystać dane z KRS. GIODO zrobił tam kontrolę i zaordynował m.in. "dopełnienie wobec osób, których dane pochodzące ze źródeł powszechnie dostępnych (Monitor Sądowy i Monitor Gospodarczy) zostały zebrane i utrwalone przez ww. administratora danych, obowiązku informacyjnego o którym mowa w art. 25 ust. 1 ustawy o ochronie danych osobowych, w terminie 3 miesięcy, od dnia w którym niniejsza decyzja stanie się ostateczna". Spółka argumentowała, że nie jest w stanie przekazać ujawnionym w KRS osobom fizycznym informacji związanych z przetwarzaniem danych ich dotyczących, ponieważ - tu upraszczam - w KRS nie ma danych kontaktowych do tych osób. W istocie ten argument dotyczył podmiotów, które przestały pełnić funkcje w spółkach, a te dane nada są przetwarzane przez podmiot, by budować dane historyczne. Ale nawet, jeśli jakaś osoba pełni funkcje w spółce, to przecież wysłanie listu na adres spółki niekoniecznie musi wystarczyć za spełnienie takiego obowiązku informacyjnego. Spółka argumentowała:

W celu prawidłowego wykonania obowiązku określonego w nakazie Spółka musiałaby zebrać dodatkowe kategorie danych umożliwiających nawiązanie kontaktu. Taki obowiązek powinien jednak stanowić przedmiot jednoznacznie wyrażonego w decyzji nakazu, co nie nastąpiło. W obecnym stanie prawnym, w tym na podstawie skarżonych aktów administracyjnych, Spółka nie ma podstawy prawnej do pozyskania nowych kategorii danych osobowych. Wyznaczony przez organ termin 3 miesięcy jest nierealny dla przeprowadzenia przedsięwzięcia zgromadzenia dodatkowych danych (np. adresowych) w stosunku do wszystkich osób, których dane są zawarte w zbiorze. Spółka podkreśliła, że przedmiotowy zbiór danych zawiera wszystkie dane osobowe znajdujące się w KRS.

Również w stosunku do pozostałych osób, których dane są przetwarzane (tj. aktualnie pełniących funkcję), nie jest w decyzji w jakikolwiek sposób dookreślone w jaki sposób administrator danych ma przekazać informacje, tak aby skutecznie dotarła do podmiotu danych i czy przesłanie danych na adres siedziby podmiotu ujawnionego w KRS jest wystarczające w tym przedmiocie.

Mamy publikację urzędową, państwo gromadzi pewne informacje o obywatelach, robi to dla gwarantowania pewności obrotu. Dziś, inaczej niż na gruncie rozstrzygania omawianej sprawy, mamy już (niedoskonałe nadal) przepisy o ponownym wykorzystaniu informacji z sektora publicznego, ale one nie wyłączyły stosowania przepisów o ochronie danych osobowych.

Na gruncie poprzedniego stanu prawa spółka argumentowała, że:

W ocenie skarżącej Spółki, w skarżonych decyzjach organ dokonał błędnej wykładni art. 25 ust. 2 pkt 1 uodo polegającej na przyjęciu, że nie zachodzi określona w nim przesłanka wyłączająca obowiązek informacyjny, o którym mowa w ust. 1 tegoż artykułu. Powyższy przepis wskazuje bowiem dwie odrębne kategorie przepisów ustaw szczególnych: przewidujących lub dopuszczających zbieranie danych osobowych bez wiedzy podmiotu danych. W tym przepisie przewiduje się zatem dwie odrębne kategorie przepisów szczególnych, które pozwalają na stwierdzenie wyłączenia obowiązku informacyjnego.

W ocenie skarżącej, w przypadku ustaw wprowadzających jawności (formalną i materialną) rejestrów publicznych, w tym rejestrów zawierających dane osobowe, mamy do czynienia z prawnym dopuszczeniem, w rozumieniu art. 25 ust. 2 pkt 1 uodo. Jawność formalna rejestru oznacza prawo każdego do dostępu do danych rejestrowych, bez potrzeby wykazywania w tym swojego interesu prawnego lub faktycznego. Ze względu na powszechną legitymację podmiotową w zakresie dostępu do danych rejestrowanych, uzyskujący informacje z rejestru nie jest w żaden sposób identyfikowany na etapie pozyskania przez niego danych.

Mamy więc nawiązanie do tej jawności formalnej, o której mowa w przywołanym we wstępie cytatu z Generalnego Inspektora Ochrony Danych Osobowych, a tam o chęci rozpoczęcia wspólnej z RPO dyskusji o jawności formalnej (nota bene: w treści listu GIODO sygnalizuje "brak rozróżnienia w polskim prawie pomiędzy jawnością formalną danych, które mogą stanowić informacje publiczną, a tak zwaną „otwartością”").

W sprawie spółki WSA w Warszawie wydał wyrok, który jeszcze nie jest prawomocny. Wyrokiem tym WSA przyznał rację GIODO. Sprawa trafiła do Naczelnego Sądu Administracyjnego, a spółka wniosła o wstrzymanie wykonania decyzji GIODO. NSA przychylił się do wniosku spółki i wydał Postanowienie NSA z 30 września 2011 r. (sygn. I OSK 1827/11). Przyznał tam m.in., że spółka dostatecznie wykazała koszty, jakie musiałaby ponieść w przypadku realizacji decyzji. O jakich kosztach mówimy? Przywołam fragment z uzasadnienia postanowienia:

Przyjmując, że skorzystanie z możliwości przedstawionej przez WSA w Warszawie w zaskarżonym wyroku, w świetle omawianych poprzednio wątpliwości co do sentencji decyzji byłoby w ogóle możliwe, to w świetle § 1 rozporządzenia Rady Ministrów z dnia 19 listopada 2008 r. w sprawie wysokości opłat za udostępnienie danych ze zbiorów meldunkowych, ewidencji wydanych i unieważnionych dowodów osobistych, zbioru PESEL, ogólnokrajowej ewidencji wydanych i unieważnionych dowodów osobistych oraz sposobu wnoszenia tych opłat, koszt uzyskania jednostkowej informacji o osobie fizycznej wyniósłby 31 zł. Mnożąc to przez przyjętą (prawdopodobnie zaniżoną) liczbę osób fizycznych, które dane zostały zawarte w MSiG, można zauważyć, że szacunkowy koszt samego pozyskania danych niezbędnych do realizacji obowiązku informacyjnego wyniesie 3,1 min zł (słownie: trzy miliony sto tysięcy złotych). Wydaje się, że już wielkość tej kwoty pozwala na przyjęcie, że wykonanie decyzji może narazić skarżącą na znaczącą szkodę. Kwota ta nie byłaby jednak górną wysokością kosztów skarżącej związanych z wykonaniem obowiązku informacyjnego – do kosztów należałoby bowiem doliczyć koszty przygotowania i wysłania korespondencji.

Spółka wyjaśniła, że co do zasady podmioty, które zrealizować mają obowiązek informacyjny posiadają informacje pozwalające na bezpośredni kontakt z osobą fizyczną. Ponieważ w przedmiotowym przypadku przetwarzanie danych osobowych następuje "przy okazji" przetwarzania danych dotyczących jednostek organizacyjnych i osób prawnych - administrator nie posiada takich danych i musi ponieść dodatkowe, znacząco przekraczające standardowe koszty realizacji nakazu zawartego w decyzji.

Czekamy na wyrok NSA w sprawie spółki. W gronie znajomych zastanawialiśmy się, jaki on będzie i doszliśmy do wniosku, że wyrok WSA chyba jednak się utrzyma. Jeśli tak, to oznacza to, że spełnienie "obowiązku informacyjnego" jest (lub może być) ekonomiczną barierą stosowania re-use. Po prostu pewne kategorie informacji do re-use (wszystko jedno: komercyjnego, czy niekomercyjnego) nie trafią, bo koszt spełnienia obowiązku informacyjnego będzie przekraczał możliwości podmiotu pragnącego przetwarzać dane publiczne.

Spółka akurat postanowiła wykorzystać dane z KRS dla celów komercyjnych. Dla mnie re-use stanowi narzędzie obywatelskiej kontroli działania państwa. Jeśli miałbym, kosztem 3 milionów złotych, poinformować osoby "formalnie ujawnione" w KRS, że mam zamiar przetwarzać ich dane dajmy na to w Sejmometrze (nota bene: wypadałoby poinformować o przetwarzaniu danych również posłów, senatorów, zapraszanych na komisje sejmowe ekspertów (jakoś nie ma do nich maili), przedstawicieli ministerstw i urzędów, itp.), to Fundacja nie będzie mogła tego zrobić z powodów ekonomicznych. Fundacja działa w oparciu o otrzymane granty, nie jest nastawiona na zysk, a jej celem jest promowanie demokracji przez dostęp do informacji publicznej.

Powyższe już wyjaśnia, dlaczego nie jestem obiektywny w tej sprawie. Chciałbym móc te dane wykorzystywać i nie musieć spełniać obowiązku informacyjnego.

Potrafilibyśmy powiązać posła lub eksperta z jego życiem gospodarczym i w ten sposób - jak uważam - potrafilibyśmy zwiększyć przejrzystość życia publicznego. Taka informacja wszak nie jest bez znaczenia również wówczas, gdy zaproszony przez komisję sejmową ekspert prowadzi też działalność w sferze będącej przedmiotem obrad komisji, w tym np. zasiadając we władzach tej lub innej spółki. Czy można ponownie wykorzystywać rejestr lobbystów? A co z oświadczeniami majątkowymi i rejestrami korzyści? Wszak tam są same dane osobowe. Widać, że problemów na styku re-use i ochrony danych osobowych jest wiele. A jak mi się nieuczciwy ktoś, kto "miesza w życiu publicznym", nie zgodzi, bym przetwarzał jego dane osobowe? Tam, gdzie mówimy o gwarancjach "pewności obrotu", tam również powinniśmy mówić o gwarancjach przejrzystości działania państwa. Możliwość przetwarzania danych osobowych z publicznych rejestrów i innych "oficjalnych źródeł" wydaje mi się jedną z takich gwarancji. Nie oznacza to, że nie widzę tu zagrożeń dla prywatności. Nie jest też tak, że uważam, iż w kolizji jawność-ochrona informacji jedno dobro prawnie chronione zasługuje na większą realizację niż inne - potrzebna jest równowaga. Jednak konieczność spełnienia obowiązku informacyjnego w przypadku danych pochodzących z "oficjalnych źródeł" w istocie niweczy często możliwość ponownego przetwarzania danych. Niweczy w ten sposób możliwość realizowania przez obywateli społecznej kontroli nad życiem publicznym.

Jawność formalna czyli przetwarzanie danych osobowych bez spełnienia (dodatkowego) obowiązku informacyjnego?

Oczywiście pod warunkiem, że rzeczywiście przetwarzam dane "formalnie jawne" (chociaż ważne, jakie nadamy temu terminowi znaczenie). Propozycja, by dotyczyło to sytuacji, w której nie modyfikuję danych nie jest - jak uważam - właściwa. Biorąc taki odpis KRS (dostępny wszak powszechnie na stronach Ministerstwa Sprawiedliwości), który to odpis jest plikiem przypominającym kartkę, aby móc go maszynowo przetwarzać powinienem ustrukturalizować zawarte w nim informacje. W istocie zatem zmodyfikować plik, podzielić informacje do odrębnych tabel w bazie danych. Podobnie w sytuacji, w której rejestr korzyści lub oświadczenie majątkowe jest zwyczajnym skanem ręcznie wypełnionego formularza (dlaczego nie można tego zrobić cyfrowo i udostępniać obywatelom w ustrukturalizowanej, przeszukiwalnej bazie danych?). Zatem taka propozycje nie oddaje - moim zdaniem - warunków współczesnego "obrotu informacją".

Być może wystarczy podanie źródła przy prezentowaniu zestawu danych, w szczególności zestawu zawierającego informacje "formalnie jawne"?

Ale - podobnie jak to zrobił Generalny Inspektor Ochrony Danych Osobowych w liście do Rzecznika Praw Obywatelskich - deklaruję chęć wzięcia udziału w dyskusji o jawności (również "formalnej"), ponownego wykorzystania informacji z sektora publicznego oraz ochrony danych osobowych i prywatności. Być może w pewnych sytuacjach wystarczyłoby ogłoszenie publiczne, albo wskazanie źródła. List RPO do GIODO i odpowiedź GIODO do RPO miała miejsce rok temu. Od tego czasu prowadzimy ożywioną dyskusję na temat "anonimizacji" wyroków. Orzeczenia sądowe również zawierają dane osobowe i temat jest trudny. Im wcześniej będziemy potrafili wypracować nadające się do codziennego stosowania zasady postępowania, tym mniej będzie - jak uważam - sytuacji konfliktowych, będzie większa pewność prawa, a dane osobowe różnych podmiotów (w tym przecież moje dane!) będą miały szansę być przetwarzane nie w "szarej strefie", a zgodnie z obowiązującym prawem.

Podobne materiały gromadzę w dziale cytaty niniejszego serwisu.