Biuletyn Informacji Publicznej RPO

• Prezes UODO przyznaje Rzecznikowi rację: komisja badająca stołeczną reprywatyzację działa na podstawie przepisów, które nie uwzględniają RODO
• Jan Nowak zaznacza jednak, że Komisja – zgodnie z ustawą, która dała jej szerokie kompetencje – działa „w interesie publicznym”
• RODO właśnie z „interesu publicznego” czyni wyjątek dla zakazu przetwarzania danych bez wiedzy zainteresowanych
• Faktem jest jednak, że ustawę o Komisji należałoby poprawić

Już przed rokiem, w wystąpieniu do GIODO (poprzednika Urzędu Ochrony Danych Osobowych działającego na podstawie RPDO) Rzecznik Praw Obywatelskich zwracał uwagę, że komisja badająca stołeczną reprywatyzację dostała pełny dostęp do informacji z Krajowego Rejestru Sądowego, Krajowego Rejestru Karnego oraz centralnej bazy danych ksiąg wieczystych. A to oznacza to możliwość przetwarzania tych danych przez komisję bez wiedzy i zgody osób, których one dotyczą. Te kompetencje są w zasadzie nieograniczone, na co nie pozwala polska Konstytucja, ani europejskie RODO.

Ponieważ RPO nie dostał odpowiedzi z GIODO, napisał w tej sprawie ponownie – już do UODO, w lipcu 2019 r. Teraz dostał odpowiedź z przeprosinami za „istotną zwłokę w odpowiedzi”.

Rzecznikowi chodzi o kompetencje, które komisja działająca pod kierownictwem wiceministra sprawiedliwości Patryka Jakiego (a obecnie Sebastiana Kalety) dostała na podstawie nowelizacji z 26 stycznia 2018 r.  Ma ona dostęp do pełnych danych i informacji w Krajowym Rejestrze Sądowym, Krajowym Rejestrze Karnym oraz centralnej bazie danych ksiąg wieczystych. Może przetwarzać dane z tych zbiorów (jak i z innych zborów prowadzonych na podstawie innych przepisów przez organy władzy publicznej) bez wiedzy i zgody osoby, której one dotyczą. „Komisja zatem otrzymała niczym nieograniczony dostęp do zbiorów i rejestrów prowadzonych przez organy władzy publicznej” – zauważył Rzecznik. - Tak szerokie uprawnienia rodzą zastrzeżenia ze względu na możliwość ingerencji w tajemnice zawodowe lub też w  toczące się postępowania. Wśród przetwarzanych danych osobowych mogą znajdować się również dane wrażliwe.

Prezes UODO przyznał w odpowiedzi, że „analiza unormowań ustawy (…) prowadzi do wniosku, że przepisy tego aktu prawnego nie zostały dostosowane do uregulowań [RODO]”.

Jak zauważa Jan Nowak, stało się tak przede wszystkim dlatego, że kiedy przepisy polskiego prawa były dostosowywane do europejskich zasad ochrony danych osobowych, to ustawa o komisji Jakiego/Kalety nie znalazła się w ogóle na liście ustaw do poprawy. W efekcie są w tej ustawie sformułowania wprost z uchylonej już ustawy z 1997 r. o ochronie danych osobowych jak np. „[...] Komisja może przetwarzać informacje, w tym również dane osobowe [...] bez wiedzy i zgody osoby, której te dane dotyczą”; „Komisja w celu realizacji zadań wynikających z ustawy może korzystać z danych o osobie [...] oraz przetwarzać je bez wiedzy i zgody osoby, której te dane dotyczą”.

Prezes UODO podkreśla jednak: „Powyższe niedociągnięcie, aczkolwiek istotne, nie oznacza wszakże, iż ustawa pozostaje w całkowitej sprzeczności z postanowieniami rozporządzenia [RODO]. Zauważyć wypada, że rozporządzenie zezwoliło na przetwarzanie przez administratora (czyli, w niniejszej sprawie, Komisję) danych osobowych, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c) i - gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e), zaś szczególnych kategorii danych osobowych - gdy przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. g). Komisja zaś. w myśl art. 3 ust. 3 ustawy z 09.03.2017, została wprost określona jako organ administracji publicznej stojący na straży interesu publicznego (w zakresie postępowań w przedmiocie wydania decyzji reprywatyzacyjnych dotyczących nieruchomości warszawskich)”.

Prezes UODO pisze dalej, że jeśli dodać do tego (nie wchodząc w ocenę systemowej prawidłowości tego rozwiązania, co nie należy do Prezesa Urzędu Ochrony Danych Osobowych), że w celu realizacji zadań wynikających z ustawy, komisji przysługują uprawnienia prokuratora, to zakres kompetencji komisji do przetwarzania danych osobowych, aczkolwiek szeroki, nie wydaje się kolidować z przepisami RODO.

Niewątpliwie wszakże, w świetle dyspozycji art. 10 RODO doprecyzowania wymagają, zawarte w ustawie o komisji reprywatyzacyjnej regulacje dotyczące dostępu komisji do Krajowego Rejestru Karnego, który zawiera informacje o wyrokach skazujących oraz czynach zabronionych lub powiązanych środkach bezpieczeństwa. O ile bowiem, sam dostęp komisji do danych zawartych w Krajowym Rejestrze Karnym nie budzi zastrzeżeń, to wzgląd na wymogi z art. 10 rozporządzenia RODO jednoznacznie przemawia za zmianą, zbyt lakonicznych w tej kwestii, przepisów ustawy o Komisji.