Interpelacje i zapytania

Tomasz Borowski                                                                                                               Miastko, 18 sierpnia 2023 roku

Radny Rady Miejskiej

w Miastku

 

 

       Pan

       Witold Zajst

       Burmistrza Miastka

 

Interpelacja

 

Dotyczy: naruszenia ochrony danych osobowych w związku z transmisją i utrwalaniem obrad sesji Rady Miejskiej w dniu 29 czerwca 2023 roku.

 

Zgodnie  z art. 20 ust.1 b ustawy o samorządzie gminnym „ obrady rady gminy są transmitowane i utrwalane za pomocą urządzeń rejestrujących obraz i dźwięk. Nagrania obrad są udostępniane w Biuletynie Informacji Publicznej i na stronie internetowej gminy oraz w inny sposób zwyczajowo przyjęty” . Jak wskazałem we wcześniejszym piśmie  pozyskiwane podczas transmisji dane z obrad sesji w dniu 29 czerwca 2023 r, nie zostały ograniczone do celu określonego art. 20 ust.1 b ustawy o samorządzie gminnym, gdyż nie wstrzymano transmisji i nagrywania oraz udostępniania w BIP Gminy Miastko obrazu po czasie trwania obrad Rady .

Powyższe wskazuje, że mogło wystąpić naruszenie ochrony danych osobowych określonych rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2, zwane dalej: rozporządzeniem 2016/679 – w którym na użytek rozporządzenia  podano definicję dla ” naruszenia ochrony danych” w   art. 4 pkt. 12 cyt. „ oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych:”

Zgodnie z zasadami dotyczącymi przetwarzania danych osobowych określonymi w art.5 ust.2  rozporządzenia 2016/679 cyt. „Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie („rozliczalność”). Zaś w ust.1 lit.f określono że dane osobowe muszą być cyt. „f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”).

 

W związku z powyższym, na podstawie § 91 Statutu Gminy Miastko proszę o odpowiedź na poniższe pytania :

 

1. Czy i kiedy przeprowadził Pan jako Administrator kontrolę , sprawdzenie zgodności przetwarzania danych osobowych z obrad sesji w dniu 29 czerwca 2023 roku z przepisami o ochronie danych osobowych, tj. z : rozporządzeniem 2016/69) oraz ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781).
2. W jakim zakresie i przez kogo zostały wykonane czynności  kontrolne, sprawdzające oraz czy stwierdzono naruszenie ochrony danych osobowych. 

W szczególności czy oceniono wykonanie obowiązków określonych  rozporządzeniem 2016/679  określonych w szczególności niżej unormowaniami:

1. art. 24 ust.1 – czy są wdrożone odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z rozporządzeniem 2016/69 i czy można to wykazać. Wskazano, że do obowiązków Administratora należy cyt „ Środki te są w razie potrzeby poddawane przeglądom” co w mojej ocenie wystąpiło.
2. art. 32 – w celu zachowania bezpieczeństwa i zapobiegania przetwarzaniu niezgodnemu z rozporządzeniem 2016/679- czy oszacowano ryzyko właściwe dla przetwarzania oraz wdrożono środki minimalizujące to ryzyka oraz czy stopień bezpieczeństwa jest odpowiedni, uwzględnia się w szczególności ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych - i mogące w szczególności prowadzić do uszczerbku fizycznego, szkód majątkowych lub niemajątkowych.
3. art. 33 ust.1 – jeżeli wyniku sprawdzenia stwierdzono naruszenie ochrony danych osobowych – czy zgłoszono naruszenia ochrony danych osobowych organowi nadzorczemu. Jeżeli nie to z jakich powodów.
4. art.33 ust.5  - czy udokumentowano wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze.
5. art. 34 – czy dokonano zawiadomień osób, której dane dotyczą, o naruszeniu ochrony danych osobowych. Jeżeli nie to – dlaczego uznano że nie wystąpiło naruszenie praw lub wolności osób fizycznych podczas niezgodnej z prawem transmisją poza obradami sesji.

Tomasz Borowski                        

 

                                                                             

Miastko,  27 września 2023 r.

Tomasz Borowski

Radny Rady Miejskiej

w Miastku

Pan Witold Zajst

       Burmistrz Miastka

 

dot. odpowiedzi  z dnia 12 września 2023 roku (znak sprawy WOA.0003.48.2023.AR) na zapytania przedstawione w interpelacji z dnia 18 sierpnia 2023 roku w sprawie w naruszenia ochrony danych osobowych w związku z transmisją i utrwalaniem obrad sesji Rady Miejskiej w dniu 29 czerwca 2023 roku.

W związku transmisją i utrwalaniem za pomocą urządzeń rejestrujących obraz i dźwięk, po zakończeniu obrad sesji Rady Miejskiej w dniu 29 czerwca roku tj. poza uprawnionym czasem określonym art. 20 ust.1 b ustawy o samorządzie gminnym, wskazałem o możliwym naruszeniu ochrony danych  w rozumieniu art.4 pkt 12 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2, zwane dalej: rozporządzeniem 2016/679. 

Zgodnie z art. 4 pkt 12 rozporządzenia 2016/679 „naruszenie ochrony danych osobowych” oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych”.

Uwzględniając powyższe,  w interpelacji zwróciłem się o sprawdzenie zgodności przetwarzania danych z przepisami o ochronie danych osobowych min.:

1. wyjaśnienie w jakim zakresie i przez kogo oraz kiedy zostały wykonane czynności  sprawdzające wykonywania czynności przetwarzania danych z transmisji poza obradami ;
2. wykazanie czy i jak zostały wykonane w ww. sprawie,  niektóre z obowiązków Administratora w szczególności określonych w art. 24 ust.1; art. 32; art. 33 ust.1 i 5; oraz 34 rozporządzenia 2016/679.

 

W mojej ocenie, wyjaśnienia zawarte w skierowanej do mnie odpowiedzi  nie  są adekwatne do zadanych pytań.

 

W wyjaśnieniach nie wykazał Pan, że został wykonany obowiązek określony art. 32  rozporządzenia 2016/679.  Materia tego przepisu stanowi :

„... ust. 1 ....administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyk w tym między innymi w stosownym przypadku:... b) zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania; d) regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.

2. Oceniając, czy stopień bezpieczeństwa jest odpowiedni, uwzględnia się w szczególności ryzyko wiążące się z przetwarzaniem, w szczególności wynikające z przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.”

Według wyjaśnień prezentowanych przez Urząd Ochrony danych Osobowych (wskazówki, porady poradniki na stronie WWW. uodo) cyt. „Wskazane testowanie, mierzenie i ocenianie, aby stanowiło realizację wymogu wynikającego z art. 32 ust. 1 lit. d) rozporządzenia 2016/679, musi być dokonywane w sposób regularny, co oznacza świadome zaplanowanie i zorganizowanie, a także dokumentowanie (w związku z zasadą rozliczalności, o której mowa w art. 5 ust. 2 rozporządzenia 2016/679) tego typu działań w określonych przedziałach czasowych, niezależnie od zmian w organizacji i przebiegu procesów przetwarzania danych.

 

Oceniam, że nie odpowiadając na zadane pytanie, działań takich Urząd nie podjął, co przesądza o naruszeniu przepisu rozporządzenia 2016/679.

Rozporządzenie 2016/679 wprowadziło podejście, w którym zarządzanie ryzykiem jest fundamentem działań związanych z ochroną danych osobowych i ma charakter ciągłego procesu. Podmioty, które przetwarzają dane osobowe, zobligowane są nie tylko do zapewnienia zgodności tego przetwarzania z wytycznymi ww. rozporządzenia poprzez jednorazowe wdrożenie organizacyjnych i technicznych środków bezpieczeństwa, ale również do zapewnienia ciągłości monitorowania poziomu zagrożeń oraz zapewnienia rozliczalności w zakresie poziomu oraz adekwatności wprowadzonych zabezpieczeń.

Oznacza to, że koniecznością staje się wypełnienie obowiązku przez Administratorów szczegółowej analizy prowadzonych procesów przetwarzania danych i dokonać oceny ryzyka, a następnie zastosować takie środki i procedury, które będą adekwatne do oszacowanego ryzyka. Wykonanie wymagane jest przed wprowadzeniem nowego procesu przetwarzania danych oraz w przypadku wystąpienia naruszenia, co miało miejsce dnia 29 czerwca 2023 r. transmisja poza uprawniony okres.

 

W odpowiedzi częściowo wykazano realizację obowiązku określonego w art. 33 rozporządzenia 2016/679. I tak wyjaśnienie  cyt. „W wyniku analizy zapisu obrad sesji Rady Miejskiej w Miastku w dniu 29 czerwca 2023r. przez jej organ wykonawczy, po konsultacji z Inspektorem  Ochrony Danych Osobowych Urzędu  Miejskiego w Miastku, ustalono, że przedmiotowy zapis z przedmiotowej sesji nie narusza przepisów o ochronie danych osobowych, ani praw i wolności osób na nim utrwalonych, bowiem dotyczy tylko i wyłącznie radnych – osób publicznych biorących udział w niniejszej sesji.” - nie pozwala ocenić czy prawidłowo wykonano obowiązek art. 33 ust.1 i 5 rozporządzenia 2016/679.

Nie wykazano, kiedy (data), przez kogo i jak udokumentowano, że nie wystąpiło naruszenie ochrony danych. Brak tych danych (a wnioskowanych w interpelacji)  nie pozwala ocenić czy obowiązek wykonano w terminie wskazanym art. 33 ust. 1,  aby w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia  - wykonał zgłoszenie organowi nadzorczemu.

Natomiast stwierdzenie w odpowiedzi cyt. „bowiem dotyczy tylko i wyłącznie radnych – osób publicznych biorących udział w niniejszej sesji”  - wymaga weryfikacji podejścia do zagadnienia i uwzględnienia w następczych  działaniach faktu, że osobami tymi mogą być się nie tylko radni.  Wstęp na salę posiedzeń obrad przysługuje każdemu, uczestniczą także inne osoby zaproszone (sprawozdawcy zagadnień objętych tematyką sesji) a także mieszkańcy Gminy czy inne zainteresowane.  

Ponadto należy uwzględnić, że wszystkie osoby przebywające na sali posiedzeń  w trakcie obrad, winny mieć możliwość wcześniejszego zapoznania się z informacją Administratora w zakresie transmitowania i utrwalania za pomocą urządzeń rejestrujących obraz i dźwięk obrad Rady Miejskiej oraz ich udostępnianiu w Biuletynie Informacji Publicznej (art.13 rozporządzenia 2016/679 ).

Powyższego, obowiązku nie realizowano. Po zapytaniu w sprawie, zamieszczono klauzulę informacyjnej (brak daty sporządzenia i podpisu) w biuletynie informacji  publicznej system Rada zakładka RODO.

            Wnioskuję, aby przed każdym terminem posiedzeń sesji zamieszczać opracowaną klauzulę informacyjną przed wejściem na salę posiedzeń wraz zawiadomieniem o zwołaniu obrad.

            W zakresie przestawienie w sprawie roli Inspektora Ochrony Danych jako konsultującego „analizę zapisu” (bez podania daty konsultacji oraz czynności objętych analizą) uważam, że  powinna nastąpić  niezwłocznie po wystąpieniu naruszenia ochrony danych i winna dotyczyć przede wszystkim przeprowadzenia oceny stopnia bezpieczeństwa, wymaganej art. 32 rozporządzenia 2016/679 .

W wykonywaniu zadań ochrony danych  należ uwzględnić status i zadania inspektora ochrony danych określone rozporządzeniem 2016/679 wskazujące w:

- art. 38 ust.1 wskazujące, że Administrator winien zapewnić, by inspektor ochrony danych był właściwie i niezwłocznie włączany we wszystkie sprawy dotyczące ochrony danych osobowych

- art. 39  ust.1 lit.b „1. Inspektor ochrony danych ma następujące zadania:.... b) monitorowanie przestrzegania niniejszego rozporządzenia, innych przepisów Unii lub państw członkowskich o ochronie danych oraz polityk administratora lub podmiotu przetwarzającego w dziedzinie ochrony danych osobowych, w tym podział obowiązków, działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz powiązane z tym audyty.”

 .             Ponadto oceniam, że  bez związku z interpelacją, są informacje i wyjaśnienia przedstawione w odpowiedzi w zdaniach 3 do 7 a  będące omówienie unormowań prawnych, ich oceny.

 Odnosząc się  informacji w brzmieniu cyt. „ Wobec powyższego w rzeczywistości nie może być mowy o jakimkolwiek naruszeniu obowiązujących przepisów prawa, bowiem transmisja z obrad rady jest wykonaniem ustawowego obowiązku i tym samym wymienione nie może mieć zastosowania w przedstawionej sprawie w zakresie naruszenia procedur związanych z przetwarzaniem danych osobowych, ponieważ nie doszło do jakiegokolwiek naruszenia przepisów obowiązujących w tym zakresie”  -  uważam,  po zapoznaniu się z przedstawioną oceną Pana do odpowiedzi, będzie wymagać weryfikacji przedstawionego stanowiska.

Zawarcie w odpowiedzi na interpelację, uwagi o wypowiedziach radnych i instruowaniu  jak, Pana zdaniem, mają się radni zachowywać jest  wysoce niestosowna.

Uważam, że zamiast zajmować się cenzurowaniem zachowania radnych, winien Pan zająć się zadaniami i obowiązkami Administratora określonymi rozporządzeniem 2016/679. Celem właściwego ich realizowania, wskazane jest żeby Pan i pracownicy realizujący zadania ochrony danych, zaktualizowali wiedzę o obowiązkach spoczywających na nich na mocy wymienionego rozporządzenia, a także zapoznali się z licznymi orzeczeniami sądów administracyjnych, decyzjami Prezesa Urzędu Ochrony Danych    czy też skorzystali z porad zamieszczonych na stronie UODO.

Informuję, że wystąpię do Urzędu Ochrony Danych Osobowych z prośbą o ocenę sprawy.

 

 

                                                                       Tomasz Borowski

Treść interpelacji dostępna w załączniku do pobrania

WOA.0003.48.2023.AR                                                       Miastko, dnia 12 września  2023 r.

 

 

            Pan Tomasz Borowski

           Przewodniczący Rady Miejskiej

            w Miastku

 

            W odpowiedzi na Pana interpelację  z dnia 18 sierpnia 2023r. wyjaśniam.
W wyniku analizy zapisu obrad sesji Rady Miejskiej w Miastku w dniu 29 czerwca 2023r. przez jej organ wykonawczy, po konsultacji z Inspektorem  Ochrony Danych Osobowych
Urzędu  Miejskiego w Miastku, ustalono, że przedmiotowy zapis z przedmiotowej sesji nie narusza przepisów o ochronie danych osobowych, ani praw i wolności osób na nim utrwalonych, bowiem dotyczy tylko i wyłącznie radnych – osób publicznych biorących udział w niniejszej sesji.

            Nadto podkreślić należy, że niedopuszczalne jest ingerowanie w treść transmisji
z przebiegu sesji rady. Sytuacja z publikacją pełnego przebiegu transmisji z sali obrad tuż po zakończeniu sesji zaistniała tylko i wyłącznie z powodów technicznych. Mimo to w BIP Gminy Miastko opublikowano przebieg sesji, dokonując weryfikacji końcowego nagrania
ze względu na powagę i  charakter instytucji. Nie stosowne byłoby publikowanie takich treści w BIP Urzędu.

Jednocześnie należy wskazać, iż zgodnie z przepisem art. 20 ust. 1a ustawy
z dnia 8 marca 1990 roku o samorządzie gminnym, ustawodawca wprowadził obowiązek transmitowania obrad sesji rady i utrwalania ich za pomocą urządzeń rejestrujących obraz  
i dźwięk.

Bezsprzecznie uznać należy, że ustawodawca jest racjonalny i w konsekwencji przyjął, iż transmisja obrad rady nie może podlegać jakimkolwiek ograniczeniom w tym ograniczeniom wynikającym z rozporządzenia  Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku
z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.

Tym samym, mając na względzie fakt, iż transmisja obrad rady na żywo uniemożliwia fizycznie i technologicznie, ingerowanie w treści przekazu transmisji z obrad rady na żywo, przyjąć należy, że gdyby zamiarem racjonalnego ustawodawcy była ochrona osób fizycznych, w związku z przetwarzaniem danych osobowych podczas transmisji z obrad rady, to ponad wszelką wątpliwość nie unormowałby obowiązku ustawowego do transmisji obrad rady. Nawet gdyby przyjąć, iż zamiarem ustawodawcy byłaby ochrona osób fizycznych w związku
z przetwarzaniem danych osobowych podczas transmisji z obrad rady to wyraźnie ustawodawca wskazałby to w przepisach normujących obowiązek transmisji obrad rady. Ustawodawca jednak tego nie uczynił, czym uznał, iż transmisja z obrad rady nie narusza obowiązków wynikających  z rozporządzenia  Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku
z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.

Ponadto zgodnie z przepisem art. 6 ust. 1 litera „c” z rozporządzenia  Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, przetwarzanie jest zgodne
z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.

W konsekwencji transmisja z obrad rady jest wypełnieniem obowiązku prawnego ciążącego na administratorze (Burmistrzu Miastka) unormowanego w przepisie art. 20 ust. 1a ustawy
z dnia 8 marca 1990 roku o samorządzie gminnym i w rezultacie przetwarzanie danych osobowych osób fizycznych (radnych i osób obecnych na sesji rady) poprzez transmisję obrad rady jest jak najbardziej zgodne z obowiązującymi przepisami prawa, w tym
z rozporządzeniem  Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych
i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.

Wobec powyższego w rzeczywistości nie może być mowy o jakimkolwiek naruszeniu obowiązujących przepisów prawa, bowiem transmisja z obrad rady jest wykonaniem ustawowego obowiązku i tym samym wymienione nie może mieć zastosowania
w przedstawionej sprawie w zakresie naruszenia procedur związanych z przetwarzaniem danych osobowych, ponieważ nie doszło do jakiegokolwiek naruszenia przepisów obowiązujących w tym zakresie.

Niezależnie od powyższego należy zauważyć, iż kwestia utrwalenia na nagraniu niewłaściwych i niestosownych wypowiedzi radnych, istotnie jest niezgodna z etyką wykonywania funkcji radnego Rady Miejskiej w Miastku i nie powinna w ogóle mieć miejsca. 

            Pragnę również zauważyć, że pełnienie funkcji radnego zobowiązuje do należytego  zachowania, etycznej postawy oraz wypowiadania się w sposób kulturalny, nie tylko podczas wykonywania mandatu radnego, ale także poza obradami sesji, komisji lub innych spotkań.
 

Treść odpowiedzi dostępna w załączniku do pobrania