Urzędniku – czego możesz dowiedzieć się z poradnika ministerstwa cyfryzacji?

Zagadnienia podstawowe

Ministerstwo Cyfryzacji wyjaśniło, że źródłem obowiązku administratora, stanowiącego o zgodności przetwarzania danych z prawem, o którym mowa w art. 6 ust. 1 lit. c RODO, może być także rozporządzenie czy akt prawa miejscowego, gdyż RODO nie przesądza, jaka powinna być ranga aktu prawnego, z którego wynika obowiązek prawny ciążący na administratorze.
Istotnym jest, że realizując prawa osób, których dane dotyczą, w zakresie art. 16–22 RODO (sprostowanie, usunięcie danych, ograniczenie przetwarzania, powiadomienie odbiorców o tych czynnościach, prawo do sprzeciwu wobec przetwarzania oraz do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu), organ administracji nie ma obowiązku prowadzenia postępowania zgodnie z KPA, gdyż instrukcje co do sposobu realizacji tych praw są zawarte w samym RODO.

Dobrą wiadomością jest, że upoważnienia do przetwarzania danych osobowych udzielone na podstawie ustawy z 1997 r. zachowują ważność, o ile precyzyjnie określają zakres upoważnienia i są zgodne z nowymi politykami bezpieczeństwa (należy jednak je zmienić, powołując się na obowiązujące przepisy). Ponadto, w celu realizacji zadań przewidzianych przepisami prawa zarówno kontroler, jak i audytor posiadają ustawowe upoważnienie do przetwarzania danych osobowych, dlatego uprawnienie to nie musi wynikać z dodatkowego, odrębnego dokumentu.

Polecamy: RODO - plusy i minusy zmian

Realizacja praw osób, których dane dotyczą, w relacjach administracji publicznej z obywatelami

Zdaniem Ministerstwa Cyfryzacji wobec osoby wskazanej do kontaktu w umowie zawieranej przez podmiot publiczny nie ma konieczności spełniania obowiązku informacyjnego wynikającego z RODO, gdyż co do zasady dysponuje już ona niezbędnymi informacjami na temat administratora (np. brała udział w negocjacjach).
W celu prawidłowego wykonania obowiązku informacyjnego nie jest konieczne zbieranie przez organy publiczne oświadczeń interesantów o zapoznaniu się z treścią klauzuli informacyjnej. Jednakże, wywieszenie klauzuli informacyjnej na tablicy ogłoszeń w urzędzie, a także na stronie BIP jednostki może nie spełniać wymogów Grupy Roboczej art. 29 dotyczących przejrzystości. Osoba, której dane dotyczą, nie powinna być zmuszona do poszukiwania informacji, a rekomendowaną praktyką jest uzupełnienie urzędowych formularzy o klauzulę informacyjną. 

W przypadku przekazywania sprawy według właściwości miejscowej lub rzeczowej organ administracji w ograniczonym zakresie będzie administratorem danych osobowych, stąd na nim również ciąży obowiązek spełnienia obowiązku informacyjnego.