Zgodnie z definicją zawartą w art. 4 pkt 7 RODO, administratorem jest osoba fizyczna, prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych.
W przypadku sektora publicznego podmiot będący administratorem danych czasami wskazywany jest wprost w przepisach jak np. w ustawie Karta Nauczyciela, czy ustawie o wychowaniu w trzeźwości i przeciwdziałaniu alkoholizmowi. Jednak najczęściej wskazanie administratora danych wymaga analizy przepisów stanowiących podstawę przetwarzania danych osobowych. O tym, czy dany podmiot publiczny jest administratorem danych, decydują wówczas rodzaj i charakter nadanych mu uprawnień z obszaru spraw publicznych oraz ustawowe zadania.
Jak jest w takim razie w przypadku OPS?
Rozstrzygając, który podmiot jest w danej sytuacji administratorem w odniesieniu do konkretnych danych osobowych, należy dokonać analizy przepisów określających zadania ośrodków pomocy społecznej. Weźmy pod lupę niektóre z ustaw, które regulują działalność OPS:
• Ustawa z dnia 7 września 2007 r. o pomocy osobom uprawnionym do alimentów:
„organie właściwym dłużnika – oznacza to wójta, burmistrza lub prezydenta miasta właściwego ze względu na miejsce zamieszkania dłużnika alimentacyjnego”;
• Ustawa z dnia 11 lutego 2016 r. o pomocy państwa w wychowywaniu dzieci:
„Postępowanie w sprawie świadczenia wychowawczego prowadzi organ właściwy,
„organie właściwym – oznacza to wójta, burmistrza lub prezydenta miasta, właściwego ze względu na miejsce zamieszkania osoby ubiegającej się o świadczenie wychowawcze lub otrzymującej świadczenie wychowawcze, a w przypadku, gdy o świadczenie wychowawcze ubiega się dyrektor domu pomocy społecznej – właściwego ze względu na miejsce położenia tego domu pomocy społecznej";
• Ustawa z dnia 9 czerwca 2011 r. o wspieraniu rodziny i systemie pieczy zastępczej:
„Rodzinie przeżywającej trudności w wypełnianiu funkcji opiekuńczo-wychowawczych wójt zapewnia wsparcie (…)”.
W tych ustawach nie zostałokreślony podmiot będący administratorem, ale został wskazany pośrednio poprzez wskazanie celów przetwarzana danych i zakresu zadań. Co w takiej sytuacji zrobić, jeśli wójt przekazał to zadanie to ośrodka pomocy społecznej, jednak ustawa wskazuje wójta jako organ właściwy?
Z powoływanych wyżej ustaw wynika również, że do wykonywania tych zadań wójt/burmistrz/prezydent miasta może upoważnić m.in. kierownika ośrodka pomocy społecznej (art. 8b ustawy o pomocy osobom uprawnionym do alimentów, art. 10 ust. 1 ustawy o pomocy państwa w wychowywaniu dzieci czy art. 178 ustawy o wspieraniu rodziny i systemie pieczy zastępczej).
Czy przekazanie zadania = przekazanie administrowania?
Jeśli zatem w danej jednostce organizacyjnej przekazuje się całość zadania na podmiot ustawowo upoważniony, to co do zasady, to ten podmiot realizuje to zadanie we własnym imieniu i staje się odrębnym administratorem, ergo administratorem danych może być ośrodek pomocy społecznej.
Jak określić administratora danych w przypadku Karty Dużej Rodziny?
W ustawie z dnia 5 grudnia 2014 r. o Karcie Dużej Rodziny obowiązki związane z wydawaniem „Karty” również przypisane zostały wójtowi. Ustawa ta jednak w odróżnieniu od omawianych powyżej wskazuje także na to, kto jest administratorem danych osobowych (art. 21 ust. 2):
„Administratorami danych osobowych przetwarzanych w zakresie niezbędnym do realizacji zadań wynikających z niniejszej ustawy są wójt oraz minister właściwy do spraw rodziny”.
Mimo wyraźnego wskazania ADO wójt może upoważnić swojego zastępcę, pracownika urzędu, albo kierownika jednostki organizacyjnej gminy, a także inną osobę będącą pracownikiem jednostki organizacyjnej gminy, na wniosek kierownika tej jednostki, do realizacji zadań wynikających z tej ustawy, co w praktyce oznaczać będzie, że np. Ośrodek Pomocy Społecznej stanie się administratorem tych danych osobowych, jeśli będzie realizował to zadanie w całości.
Jak poradzić sobie w przypadku wątpliwości dotyczących określania ADO?
Niewątpliwie aktualne brzmienie przepisów może rodzić wątpliwości, które mogłyby być rozwiane w toku procesu legislacyjnego poprzez nazwanie wprost konkretnych podmiotów administratorami bez względu na okoliczność faktycznej realizacji ich zadań przez inne podmioty. Ośrodki pomocy społecznej nie są jedynym „trudnym” przypadkiem, w którym może występować swego rodzaju „mnogość administratorów danych”. Flagowym przykładem występowania kilku ADO w jednej jednostce są na pewno Urzędy Gmin/Miast.
Należy jednak zauważyć, zgodnie z wytycznymi nr 07/2020 Europejskiej Rady Ochrony Danych „koncepcje administratora i podmiotu przetwarzającego to koncepcje funkcjonalne, mają one na celu przydzielenie obowiązków zgodnie z rzeczywistymi rolami stron. Oznacza to, że status prawny podmiotu jako „administratora” lub „podmiotu przetwarzającego” musi w zasadzie być określany przez jego rzeczywistą działalność w konkretnej sytuacji, a nie na podstawie formalnego wyznaczenia podmiotu jako „administratora” lub „podmiotu przetwarzającego”.
Nina Kowalik
Kancelaria Wyrzykowscy