Prawo Dla Samorządu

Wiele gmin utworzyło Centra usług wspólnych w celu prowadzenia połączonej obsługi m.in. kadrowo-księgowej gminnych jednostek organizacyjnych np. szkół i przeszkoli. Centra usług wspólnych pracują na licznych danych osobowych np. uczniów, nauczycieli i innych pracowników szkół. RODO zmienia reguły przetwarzania danych osobowych w Centrum usług wspólnych.

Status prawny Centrum usług wspólnych

Zgodnie z art. 10b ust. 1 ustawy z dnia 8 marca 1990 r. o samorządzie gminnym (dalej: u.s.g.), wspólną obsługę mogą prowadzić urząd gminy, inna jednostka organizacyjna gminy, jednostka organizacyjna związku międzygminnego albo jednostka organizacyjna związku powiatowo-gminnego. Jednocześnie Centrum usług wspólnych działa na podstawie uchwały Rady gminy, która określa w szczególności jednostki obsługujące, jednostki obsługiwane oraz zakres obowiązków powierzonych jednostkom obsługującym w ramach wspólnej obsługi (por. art. 10b ust. 2 u.s.g.). Niekiedy gminy decydują się na powołanie zupełnie nowej jednostki organizacyjnej bezpośrednio dedykowanej do realizacji wspólnej obsługi. Wówczas podstawą działania Centrum usług wspólnych będą zarówno ww. uchwała Rady gminy w sprawie organizacji wspólnej obsługi jak i statut nowej jednostki organizacyjnej o nazwie najczęściej „Centrum usług wspólnych w gminie(…)”. W świetle powyższych uwag Centrum usług wspólnych działa na rzecz jednostek obsługiwanych, ale jest podmiotem odrębnym organizacyjnie i prawnie. Centrum usług wspólnych nie jest filią lub oddziałem jednostek obsługiwanych.

Przetwarzanie danych osobowych

Na mocy art. 10d u.s.g. Centrum usług wspólnych jest uprawnione do przetwarzania danych osobowych przetwarzanych przez jednostkę obsługiwaną w zakresie i celu niezbędnych do wykonywania zadań w ramach wspólnej obsługi tej jednostki. Ustawodawca miał świadomość, że realizacja wspólnej obsługi wiąże się głównie z pracą na danych osobowych przekazywanych przez jednostki obsługiwane i chciał zapewnić Centrum usług wspólnych ustawowe umocowanie do przetwarzania tych. W związku z powyższym uchwały Rad gmin w sprawie organizacji wspólnej obsługi najczęściej nie regulują kwestii powierzenia przetwarzania danych osobowych. Nie wykształciła się także praktyka zawierania umów powierzenia przetwarzania danych osobowych, albowiem jednostki obsługujące i jednostki obsługiwane zgodnie uznawały, że art. 10d u.s.g. reguluje analizowaną kwestię w sposób wyczerpujący.

Nie analizując bliżej skuteczności art. 10d u.s.g. i związanych z nim licznych wątpliwości zgłaszanych w doktrynie i orzecznictwie, należy pamiętać, że w dniu 25 maja 2018 r. wchodzi w życie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO). Rozporządzenie będzie mieć pierwszeństwo przed przepisami prawa krajowego, w szczególności art. 10d u.s.g. Zatem w pierwszej kolejności powierzenie przetwarzania danych osobowych Centrum usług wspólnych przez jednostkę obsługiwaną musi być zgodne z postanowieniami RODO. Tym samym postanowienia RODO praktycznie wyłączają zastosowanie art. 10d u.s.g. od dnia 25 maja 2018 r.

Powierzenie przetwarzania danych od 25 maja 2018 r.

Art. 28 ust. 1 RODO stawia zasadniczy warunek, że administrator danych osobowych (np. szkoła, dom pomocy społecznej, centrum inicjatyw senioralnych czy gminny dom kultury) może korzystać wyłącznie z usług takich podmiotów przetwarzających (Centrum usług wspólnych), które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Jednocześnie na podstawie art. 28 ust. 3 RODO, przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Ta umowa lub inny instrument prawny stanowią w szczególności, że podmiot przetwarzający:

a) przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora – co dotyczy też przekazywania danych osobowych do państwa trzeciego lub organizacji międzynarodowej – chyba że obowiązek taki nakłada na niego prawo Unii lub prawo państwa członkowskiego, któremu podlega podmiot przetwarzający; w takim przypadku przed rozpoczęciem przetwarzania podmiot przetwarzający informuje administratora o tym obowiązku prawnym, o ile prawo to nie zabrania udzielania takiej informacji z uwagi na ważny interes publiczny;

b) zapewnia, by osoby upoważnione do przetwarzania danych osobowych zobowiązały się do zachowania tajemnicy lub by podlegały odpowiedniemu ustawowemu obowiązkowi zachowania tajemnicy;

c) podejmuje wszelkie środki wymagane na mocy art. 32;

d) przestrzega warunków korzystania z usług innego podmiotu przetwarzającego, o których mowa w ust. 2 i 4; e) biorąc pod uwagę charakter przetwarzania, w miarę możliwości pomaga administratorowi poprzez odpowiednie środki techniczne i organizacyjne wywiązać się z obowiązku odpowiadania na żądania osoby, której dane dotyczą, w zakresie wykonywania jej praw określonych w rozdziale III;

f) uwzględniając charakter przetwarzania oraz dostępne mu informacje, pomaga administratorowi wywiązać się z obowiązków określonych w art. 32–36;

g) po zakończeniu świadczenia usług związanych z przetwarzaniem zależnie od decyzji administratora usuwa lub zwraca mu wszelkie dane osobowe oraz usuwa wszelkie ich istniejące kopie, chyba że prawo Unii lub prawo państwa członkowskiego nakazują przechowywanie danych osobowych;

h) udostępnia administratorowi wszelkie informacje niezbędne do wykazania spełnienia obowiązków określonych w niniejszym artykule oraz umożliwia administratorowi lub audytorowi upoważnionemu przez administratora przeprowadzanie audytów, w tym inspekcji, i przyczynia się do nich.

Uchwała Rady gminy w sprawie organizacji wspólnej obsługi może być uznana - w rozumieniu art. 28 ust. 3 RODO - za instrument prawny prawa polskiego, który wiąże zarówno Centrum usług wspólnych jak i jednostki obsługiwane. Zatem wspomniana uchwała może uzasadniać powierzenia przetwarzania danych osobowych pod warunkiem, że będzie zawierać wszystkie informacje wymagane cytowanym wyżej przepisem. Niezależnie od powyższego, jednostka obsługiwana może podpisać z Centrum usług wspólnych umowę powierzenia przetwarzania danych osobowych na warunkach określonych w art. 28 RODO.

Wyjątek

Powierzenie przetwarzania danych osobowych ma miejsce tylko wtedy gdy Centrum usług wspólnych działa w imieniu jednostki obsługiwanej. Odmiennie należy oceniać sytuację gdy (a) uchwała Rady Gminy w sprawie organizacji wspólnej obsługi albo (b) przepis prawa wyraźnie stanowią, że kierownik Centrum usług wspólnych będzie ponosić odpowiedzialność za wycinek działalności jednostki obsługiwanej, który został przekazany do wspólnej obsługi i jednocześnie zwalniają kierownika danej jednostki obsługiwanej z odpowiedzialności w tym zakresie. W zależności od okoliczności danego przypadku nie można wykluczyć, że czasami taki zespół czynności na danych osobowych będzie realizowany przez Centrum usług wspólnych we własnym imieniu i powierzenie przetwarzania danych osobowych w rozumieniu art. 28 RODO nie będzie mieć miejsca.

TAGI: Jednostki budżetowe, Ochrona danych osobowych, Prawo europejskie, Rada gminy,

Dane osobowe w Centrum usług wspólnych