Kto jest administratorem danych przetwarzanych w celu wydania karty seniora?

Urzędy gmin lub miast na prawach powiatów mają wiele wątpliwości dotyczących wskazania administratora w procesie wydawania kart seniora lub kart młodzieży. Jest to spowodowane tym, że urzędy wspomagają się w bieżącej pracy jednostkami budżetowymi, np. miejskimi ośrodkami pomocy rodzinie. Wielu inspektorów ochrony danych ma problem z określeniem roli administratora, podmiotu przetwarzającego lub współadministratora. Zwracam się zatem do Państwa z prośbą o interpretację przepisów w tym zakresie i wskazanie, kto pełni rolę administratora w przypadku realizacji zadań z zakresu wydawania lokalnych kart, np. karty seniora czy karty młodzieży.

Zgodnie z definicją zawartą w art. 4 pkt 7 RODO, administratorem jest osoba fizyczna, prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych.

W przypadku szeroko rozumianego sektora publicznego podmiot będący administratorem może być wprost wskazany w konkretnym przepisie prawa, jednak najczęściej ma miejsce sytuacja, w której wskazanie podmiotu pełniącego tę rolę wymaga analizy przepisówstanowiących podstawę przetwarzania danych osobowych. O tym, czy dany podmiot publiczny jest administratorem, decydują wówczas przede wszystkim rodzaj i charakter nadanych mu przez prawo kompetencji z obszaru spraw publicznych oraz wyznaczone ustawowo zadania.

Rozstrzygając więc, który podmiot jest w danej sytuacji administratorem w odniesieniu do konkretnych danych osobowych,należy dokonać analizy przepisów prawa określających zadania podmiotów lub organów publicznych, dla których realizacji niezbędne jest przetwarzanie danych osobowych. Ocena będzie zależała od tego, o jakie dane osobowe oraz o jakie zadania chodzi w określonym przypadku.

Zgodnie z art. 17 ust. 2 pkt 4 ustawy o pomocy społecznej, do zadań własnych gminy należy m.in. podejmowanie innych zadań z zakresu pomocy społecznej wynikających z rozeznanych potrzeb gminy, w tym tworzenie i realizacja programów osłonowych.

Na podstawie ww. przepisu w gminach realizowane są programy lokalne polegające np. na wydawaniu określonym grupom mieszkańców lokalnych kart (kart seniora, kart młodzieży itp.) uprawniających do korzystania bezpłatnie lub na preferencyjnych warunkach np. z komunikacji miejskiej, obiektów sportowych czy kulturalnych.

W przedstawionym stanie faktycznym na podstawie ww. przepisu rada miasta podjęła uchwałę w sprawie przyjęcia Programu Karta Młodzieży.

W powyższej uchwale określono zadania prezydenta miasta, który odpowiada za określenie warunków wydania i korzystania z Karty Młodzieży oraz za określenie wzoru karty i wniosku o jej wydanie. W celu zrealizowania tego zadania prezydent miasta wydał Zarządzenie w sprawie realizacji tego programu, określając warunki wydawania i korzystania z karty. W zarządzeniu tym wskazał m.in., że wniosek o wydanie karty należy złożyć do Miejskiego Ośrodka Pomocy Rodzinie (MOPR) oraz że wykonanie zarządzenia powierza się Miejskiemu Ośrodkowi Pomocy Rodzinie.

Zgodnie z przekazanymi informacjami MOPR realizować będzie zadania powierzone przez prezydenta miasta w zakresie: zbierania danych zawartych na wnioskach, przechowywania wniosków, wydawania kart, wydawania duplikatów kart, niszczenia kart.

Jednocześnie wskazać należy, że zgodnie z art. 110 ust. 1 ustawy o pomocy społecznej, zadania pomocy społecznej w gminach wykonują jednostki organizacyjne - ośrodki pomocy społecznej lub centra usług społecznych, o których mowa w ustawie o realizowaniu usług społecznych przez centrum usług społecznych.

Jeszcze przed wejściem w życie RODO, Generalny Inspektor Ochrony Danych Osobowych stanął na stanowisku, a następnie wielokrotnie podkreślał, iż „uprawnienia gmin, jako administratorów danych podlegają dekoncentracji, w ślad za merytoryczną kompetencją, z którą związane jest przetwarzanie danych osobowych". Wskazywał m.in., że jednostki pomocnicze, jakimi są dzielnice działają na podstawie prawa miejscowego, ich organy wykonują funkcje administracji we własnym imieniu […]. To właśnie dzielnica jest administratorem danych przetwarzanych w związku z wykonywaniem przez nią ustawowych zadań. Analogiczne podejście prezentowane było w stosunku do ośrodka pomocy społecznej w sytuacji, gdy organ właściwy (tj. wójt, burmistrz lub prezydent miasta) skorzystał z uprawnienia do upoważnienia kierownika ośrodka pomocy społecznej do realizacji w całości określonych zadań.

Zatem, co do zasady, jeżeli w danej jednostce organizacyjnej przekazuje się całość zadania na podmiot upoważniony, wówczas to ten podmiot realizuje to zadanie we własnym imieniu i staje się odrębnym administratorem.

W analizowanym przypadku gmina realizuje opisane zadanie własne poprzez działania podległej jej jednostki - Miejskiego Ośrodka Pomocy Rodzinie.

Wobec powyższego jeżeli gmina przekazuje do realizacji zadanie z zakresu pomocy społecznej (np. realizację programu, o którym mowa w art. 17 ust. 2 pkt 4 ustawy o pomocy społecznej) ośrodkowi pomocy społecznej, a więc podmiotowi ustanowionemu do wykonywania takich zadań (art. 100 ust. 1 ustawy o pomocy społecznej), wówczas uzasadnione jest twierdzenie, że ośrodek ten będzie realizował swoje zadanie wynikające z tych przepisów oraz doprecyzowane w aktach prawa miejscowego i w tym zakresie będzie decydował o celach i sposobach przetwarzania danych osobowych.

2020-09-23