Rozdział V. Wdrożenie procedur informacyjnych i komunika-
2. Modelowe podejście administratora do realizacji obowiązków
Z punktu widzenia każdego administratora132 konieczne staje się przygotowanie odpowiednich rozwiązań kształtujących zasady i proce-durę (procedury) obsługi wniosków i realizacji praw przez osoby, których dane są przetwarzane. Pożądane w tym zakresie wydaje się najpierw przygotowanie przez administratora odpowiedniej polityki, precyzującej cele i mechanizmy, których wdrożenie zapewni odpowiednie wywiązy-wanie się niego z obowiązków sprecyzowanych w treści RODO. Jedno-cześnie polityka taka, stanowiąca składową całości dokumentacji rodow-skiej, będzie służyła podnoszeniu świadomości wszystkich tych, którzy w imieniu administratora uczestniczą lub będą uczestniczyć w procesach przetwarzania danych osobowych133.
Głównym założeniem uzasadniającym przygotowanie tego doku-mentu jest więc czytelne określenie wartości i reguł, mających charak-teryzować odejście administratora do kwestii realizacji praw osób, których dane dotyczą określonych w RODO oraz w aktach prawa krajowego, w szczególności definiujących ograniczenia takich praw.
30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi, wiążą sąd w postępowaniu o naprawienie szkody wyrządzonej przez naruszenie przepisów o ochronie danych osobowych co do stwierdzenia naruszenia tych przepisów, a także art. 99, w którym stwierdza się, że: Prezes Urzędu, jeżeli uzna, że przemawia za tym interes publiczny, przed-stawia sądowi istotny dla sprawy pogląd w sprawie o roszczenie z tytułu naruszenia prze-pisów o ochronie danych osobowych, co będzie miało na pewno istotny wpływ na wydanie konkretnego rozstrzygnięcia.
132 Administracja samorządowa działająca na podstawie i w graniach prawa, a więc zgodnie z zasadą legalizmu musi być odpowiednio przygotowana do wyzwań związanych z bezpośrednim stosowaniem RODO. Na temat związania prawem organów administracji publicznej zob. K. Kiczka, Krajowy organ administracji publicznej w prawie unijnym, Wrocław 2013, s. 203 i n.
133 Warto w tym zakresie wskazać, że nie dotyczy to wyłącznie pracowników w klasycz-nym tego słowa rozumieniu. Na poziomie samorządu terytorialnego kwestie zdefiniowania obowiązków już na płaszczyźnie wójt (burmistrz, prezydent), rada, radni pojawia się wiele problemów interpretacyjnych.
Nie budzi wątpliwości, że RODO definiuje obowiązki administra-tora, mając na względzie ochronę interesu publicznego134. Każdy z ad-ministratorów w zakresie realizacji obowiązków informacyjnych na podstawie RODO kierować się musi zasadą przejrzystości. W tym za-kresie informacje o przetwarzaniu danych osobowych dotyczących osoby, której dane dotyczą, należy przekazać tej osobie w momencie zbierania danych, a jeżeli danych nie uzyskuje się od osoby, której dane dotyczą, lecz z innego źródła – w rozsądnym terminie, zależnie od oko-liczności. Jeżeli dane osobowe można zgodnie z prawem ujawnić innemu odbiorcy, należy poinformować o tym osobę, której dane dotyczą, w mo-mencie pierwszorazowego ujawnienia danych temu odbiorcy. Jeżeli ad-ministrator planuje przetwarzać dane osobowe w celu innym niż cel, w którym dane osobowe zostały zebrane, powinien on przed takim dalszym przetwarzaniem poinformować osobę, której dane dotyczą, o tym innym celu oraz dostarczyć jej innych niezbędnych informacji. Jeżeli osobie, której dane dotyczą, nie można podać pochodzenia danych osobowych, ponieważ korzystano z różnych źródeł, informacje należy przedstawić w sposób ogólny.
Jednocześnie w polityce konieczne staje się wyraźne podkreślenie niezbędności wdrożenia procedur służących osobie, której dane dotyczą, wykonywaniu praw przysługujących jej na mocy RODO, w tym mecha-nizmy żądania – i gdy ma to zastosowanie bezpłatnego uzyskiwania – w szczególności dostępu do danych osobowych i ich sprostowania lub usu-nięcia oraz możliwości wykonywania prawa do sprzeciwu.
Na poziomie samorządu terytorialnego ważne staje się zidentyfiko-wanie skonkretyzowanych wprost w RODO wyłączeń możliwości reali-zacji określonych praw. Jednym nich są np. te dotyczące ograniczenia
134 Jak wskazuje J. Blicharz, „Podstawowym celem działania administracji jest dobro jednostki (obywatela). Na drodze prowadzącej do tego celu interes publiczny można widzieć jako narzędzie do kształtowania sytuacji jednostki” ‒ J. Blicharz, Kategoria interesu
prawa do bycia zapomnianym (art. 17 ust. 3 RODO). Zgodnie z jego treścią prawo do bycia zapomnianym, o którym mowa w ust. 1 i 2, nie ma zastosowania w zakresie, w jakim przetwarzanie jest niezbędne:
a) do korzystania z prawa do wolności wypowiedzi i informacji; b) do wywiązania się z prawnego obowiązku wymagającego
prze-twarzania na mocy prawa Unii lub prawa państwa członkow-skiego, któremu podlega administrator, lub do wykonania zada-nia realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; c) z uwagi na względy interesu publicznego w dziedzinie zdrowia
publicznego zgodnie z art. 9 ust. 2 lit. h) oraz i) i art. 9 ust. 3; d) do celów archiwalnych w interesie publicznym, do celów badań
naukowych lub historycznych, lub do celów statystycznych zgodnie z art. 89 ust. 1, o ile prawdopodobne jest, że prawo, o którym mowa w ust. 1, uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania; lub
e) do ustalenia, dochodzenia lub obrony roszczeń.
Pomijając w tym miejscu kwestię merytorycznego omówienia tych przesłanek, nie budzi wątpliwości, że administrator będzie musiał w na-stępstwie wpłynięcia konkretnego żądania, w sytuacji, gdy ziszcza się choćby jedna ze wskazanych wcześniej przesłanek, podjąć stosowne działania – na podstawie i w granicach wskazanych w RODO. Problema-tyczne staje się w tym zakresie wskazanie, czy jego działanie ma przybrać postać wyłącznie pisma informacyjnego, czy też musi wiązać się z wyda-niem merytorycznego rozstrzygnięcia (decyzji) odmawiającego występu-jącemu realizacji jego prawa. Gdyby przyjąć, że administrator, odwołując się do obowiązujących przepisów, stwierdza jedynie pewien fakt, tzn. (być może ponownie po wcześniejszym wskazaniu w klauzuli informacyjnej) istnienie prawnego obowiązku wymagającego przetwarzania czy zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej jemu powierzonej, to nie jest wykluczone przyjęcie modelu
odformalizowanego, w tym przypadku opierającego się na przesłaniu wnioskodawcy (żądającemu) pisma informacyjnego, a więc realizacji przez administratora klasycznej czynności materialno-technicznej135.
Co do zasady czynność materialno-techniczna jako forma działania zobowiązanego może mieć miejsce wtedy, gdy obowiązujące przepisy prawa nie tworzą podstawy dla wydania decyzji136. Brak wyraźnych przepisów konkretyzujących te sytuacje, których decyzja taka powinna być wydana, przy jednoczesnym braku wskazania innej postaci rozstrzy-gnięcia (postanowienie), nie pozostawia administratorowi możliwości domniemywania legitymizacji do innego załatwienia wniosku niż za pomocą czynności materialno-technicznej. Przyjmuję, iż przesłanie za-wiadomienia (poza-wiadomienia), które ma postać czynności materialno--technicznej, powinno nastąpić w terminie analogicznym do tego, który został określony w art. 12 ust. 3 RODO. Termin ten nie może być jednak dłuższy niż miesiąc od dnia otrzymania wniosku. W przeciwnym razie zasadne stanie się postawienie administratorowi zarzutu bezczynności i przedstawienie go w drodze skargi skierowanej do Prezesa Urzędu Ochrony Danych Osobowych.
Z bezczynnością administratora będziemy mieli do czynienia wów-czas, gdy w terminie ustalonym przez przepisy prawa organ ten nie podjął żadnych czynności w sprawie lub nie zakończył postępowania
135 Wyrok NSA z 5 dnia lutego 2008 r., I OSK 581/07, w którym podkreślono, iż „Za-równo w doktrynie, jak i orzecznictwie dominujące jest stanowisko, że przez pojęcie aktu lub czynności organu administracji, o jakich mowa w art. 16 ust. 1 pkt 4 powołanej ustawy o NSA, należy rozumieć głównie działania materialno-techniczne, wywołujące określone skutki drogą faktów. Podzielić należy stanowisko, że działania te mogą mieć również cha-rakter władczy, z tym że nie są to rozstrzygnięcia władcze, gdyż wówczas mamy do czy-nienia z decyzją administracyjną”.
136 Na temat aktów indywidualnych zob.: A. Błaś, Działania administracji publicznej, [w:] J. Boć (red.), Administracja publiczna, Wrocław 2003, s. 214 i n.; M. Masternak,
Kontrola czynności materialno-technicznych administracji publicznej przez sąd administra-cyjny, [w:] Z. Niewiadomski, Z. Cieślak (red.), Prawo do dobrej administracji. Materiały ze Zjazdu Katedr Prawa i Postępowania Administracyjnego. Warszawa-Dębe 23-25 września
wydaniem decyzji, postanowienia lub też innego aktu lub nie podjął czynności, do której był prawnie zobowiązany137. Akceptując takie za-łożenie, możemy wskazać na tzw. modelowy przykład bezczynności. Będzie ona miała miejsce wtedy, gdy administrator po wpłynięciu do niego żądania nie podejmuje działań mających na celu jego rozpatrzenie w terminach wskazanych w RODO i w konsekwencji uchybia terminowi wskazanemu w art. 12 ust. 3 rozporządzenia ogólnego138.
Pismo informacyjne administratora ma charakter w pewnym sensie rozstrzygający. W praktyce bowiem stwierdza, że konkretna osoba nie jest uprawniona do realizacji prawa. Należy w tym zakresie przyjąć, iż jedynym możliwym rozwiązaniem jest zakwalifikowanie działań (czyn-ności) administratora jako czynności materialno-technicznych podlega-jących następnie weryfikacji przez krajowy organ nadzorczy. Kwalifika-cja taka zapewni wnioskodawcy możliwość wystąpienia ze skargą Prezesa Urzędu Ochrony Danych Osobowych, który jest właściwy dla oceny, czy ta mimo wszystko czynna, a nie bierna postać zachowania się (kwalifikacja żądania) administratora nie jest w istocie bezczynnością wynikającą z tego, iż nie przeprowadził należytego postępowania wyja-śniającego, którego ustalenia stają się podstawą skierowania do wniosko-dawcy odpowiedniego pisma lub/i wadliwie dokonał kwalifikacji z punk-tu widzenia przepisów definiujących podstawy ograniczenia konkretnych praw.
137 Odróżnia się również bezczynność od milczenia. Wskazuje się, iż z bezczynność „dotyczy niewykonywania kompetencji w zakresie zadań administracji publicznej, milcze-nie zaś występuje przy załatwianiu konkretnej sprawy z zakresu administracji publicznej” – P. Sitniewski, Zasady nieudzielania informacji publicznych, „Zeszyty Naukowe Wyższej Szkoły Administracji Publicznej w Białymstoku. Administracja Publiczna ‒ Studia krajowe i międzynarodowe” 2006, nr 1/7, s. 73-74 z powołaniem się na prace J. Jendrośki, Milczenie
administracji w postępowaniu administracyjnym, „Annales Universitatis Mariae
Curie--Skłodowska. Sectio G. Ius” 1993, vol. XL oraz G. Łaszczycy, Milczenie organu w świetle
kodeksu postępowania administracyjnego, „Państwo i Prawo” 1999, nr 1.
138 W odniesieniu do działań podejmowanych przez administratora z bezczynnością będziemy mieli do czynienia również wtedy, gdy po powiadomieniu osoby (w terminie miesiąca) nie podejmuje kolejnych działań.