Ochrona danych osobowych a nagrywanie obrad kolegialnych organów jednostek samorządu terytorialnego

Transmisja i nagrywanie obrad kolegialnych organów JST to nie da lada wyzwanie. Z jednej strony urzędy są zobligowane zapewnić obywatelom konstytucyjnie zagwarantowane prawo do uzyskiwania informacji o działalności organów władzy publicznej, z drugiej zaś – zagwarantować bezpieczeństwo danych oraz zgodność ich przetwarzania z właściwymi przepisami. Problematyka jest niezwykle złożona, ale równie interesująca. Niewątpliwie pomocnym narzędziem i swoistym drogowskazem jest poradnik opracowany przez Prezesa UODO.

Niniejszy artykuł pozwoli na sprawne przeprowadzenie przez meandry zawiłych regulacji oraz opracowanych wytycznych w zakresie powinności administratora danych osobowych.

Istota i źródła obowiązków

Zgodnie z Konstytucją RP oraz ustawą o dostępie do informacji publicznej, posiedzenia organów władzy publicznej pochodzących z wyborów powszechnych są jawne i dostępne. Z kolei ustawy odpowiednio o samorządzie gminnym, powiatowym i województwa nakładają obowiązek transmitowania i utrwalania obrad rady gminy, powiatu i sejmiku za pomocą urządzeń rejestrujących obraz i dźwięk. Nagrania te muszą być udostępniane w Biuletynie Informacji Publicznej (BIP) oraz na stronie internetowej danej jednostki. Nie ulega wątpliwości, że we wspomnianych obradach uczestniczą zarówno osoby publiczne, jak i fizyczne, a ich dane osobowe podlegają ochronie.

Podstawy prawne przetwarzania danych osobowych

Podstawę prawną przetwarzania danych osobowych przez organy wykonawcze JST stanowi przepis ustawy. Mianowicie – art. 6 ust. 1 lit. e RODO, a zatem jest niezbędne do wykonania zadania realizowanego w interesie publicznym. Przetwarzanie danych osobowych uczestników obrad nie wymaga zatem ich zgody. Mimo to jednak administrator danych, którym jest organ wykonawczy danej jednostki, musi zapewnić zgodność z pozostałymi zasadami RODO, w tym z zasadą rozliczalności, integralności i poufności.

Zagrożenia i ryzyka związane z transmisją nagrań oraz danych w nich zawartych

Pięcioetapowe podejście do prawidłowej organizacji procesu ochrony danych osobowych

Krok 1 – Odpowiednie zaplanowanie pracy z przeprowadzeniem rzetelnej analizy ryzyka

• dokonanie oceny, czy tematyka obrad nie będzie wymagała ujawnienia danych szczególnej kategorii. W takich sytuacjach zaleca się kierowanie spraw na posiedzenia organów pomocniczych (np. komisji), których jawność może być ograniczona,
• podjęcie działań zmierzających do minimalizowania pozyskiwanych danych, zadbanie o odpowiednie ustawienie kamer, kadrowanie obrazu – tak by obraz obejmował osoby publiczne, wstrzymywanie transmisji podczas przerw,
• zapewnienie odpowiednich szkoleń dla członków organów kolegialnych oraz dla personelu technicznego odpowiedzialnego za obsługę kamer.

Krok 2 – Rzetelna realizacja obowiązku informacyjnego spoczywającego na administratorze danych

• uświadomienie wszystkim uczestnikom obrad, czy i w jakim zakresie udostępnienie danych jest potrzebne, zgodnie z zasadą przejrzystości,
• poinformowanie uczestników o fakcie i miejscu transmisji obrad, miejscu udostępnienia nagrania oraz okresie przechowywania danych osobowych zawartych w nagraniach, przed rozpoczęciem obrad,
• właściwe umiejscowienie informacji na ten temat, np. przed wejściem na salę obrad lub poprzez odczytanie na początku sesji.

Krok 3 – Zapewnienie właściwego sposobu transmisji i udostępniania nagrań

• należy pamiętać, że obowiązek upublicznienia nagrań w BIP i na stronach internetowych nie oznacza prawa do ujawnienia wszystkich danych osobowych,
• przed publikacją nagrania w sieci, administrator musi ocenić niezbędność ujawnienia danych osobowych (zwykłych, szczególnych kategorii), z punktu widzenia celu informacyjnego,
• orzecznictwo sądów administracyjnych wskazuje, że usunięcie danych osobowych osób prywatnych lub ich anonimizacja w BIP nie wpływa na czytelność przekazu i spełnia cel transparentności działalności publicznej,
• transmisja i udostępnianie nagrań powinno koncentrować się przede wszystkim w Biuletynie Informacji Publicznej i na stronach internetowych jednostki samorządu terytorialnego,
• wymagana jest weryfikacja dotychczasowych, zwyczajowych praktyk udostępniania danych pod kątem zgodności z RODO, zwłaszcza gdy serwery znajdują się poza UE.

Krok 4 – Zapewnienie odpowiednich procedur bezpieczeństwa nagrań

• administrator powinien zapewnić bezpieczeństwo danych osobowych w nagraniach, aby wyeliminować ryzyko nieuprawnionej ingerencji, zmiany lub zamiany całego pliku,
• wykorzystanie nowych technologii może wymagać przeprowadzenia oceny skutków dla ochrony danych,
• czynność nagrywania i transmitowania posiedzeń powinna być uwzględniona w rejestrze czynności przetwarzania,
• w przypadku powierzenia zadań podmiotom zewnętrznym (np. firmom nagrywającym lub obsługującym strony internetowe), przetwarzanie danych osobowych musi odbywać się na podstawie umowy powierzenia przetwarzania.

Krok 5 – Określenie okresu przechowywania danych zawartych w nagraniach

• dane osobowe w upublicznionych nagraniach powinny być przechowywane nie dłużej, niż jest to niezbędne do celów, w których są przetwarzane,
• administrator zobligowany jest prowadzić cyklicznie i stale analizę i retencję danych pod kątem ich niezbędności.

Emilia Sobierajska

Radca prawny | Broker ubezpieczeniowy