Jak postępować w przypadku otrzymywania tzw. niechcianych danych?

Jako inspektor ochrony danych pełniący swoją funkcję w ośrodku pomocy społecznej spotykam się z pytaniami pracowników, co robić z tzw. danymi niechcianymi. Chodzi o sytuacje, gdy kierowana jest do nas dokumentacja, o którą nie wnioskowaliśmy i której nie potrzebujemy, np. karty leczenia szpitalnego z ośrodków zdrowia czy innych instytucji. Zdarza się też, że zbędne dane - dotyczące osób trzecich albo niemające związku ze sprawą, która jest rozpatrywana - przekazywane są przez klientów. Czy taka dokumentacja i dane – zgodnie z zasadami określonymi w art. 5 ust. 1 lit. b i c RODO – powinny być odsyłane właściwym podmiotom lub usuwane?

Powyższe wątpliwości należy rozstrzygać, uwzględniając zarówno przytoczone w pytaniu zasady RODO, jak i przepisy prawa regulujące zasady i sposób realizacji określonych zadań przez ośrodki pomocy społecznej, np. Kodeks postępowania administracyjnego.

Rzeczywiście RODO wymaga, aby pozyskiwane (przetwarzane) dane osobowe były adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane - tzw. zasada minimalizacji danych (art. 5 ust. 1 lit. c RODO). Ponadto dane osobowe powinny być zbierane w wyraźnie określonym i prawnie uzasadnionym celu (art. 5 ust. 1 lit. c). Niemniej kwestia ta powinna być rozstrzygana indywidualnie w każdej sprawie. Jest to spowodowane chociażby tym, że strona postępowania administracyjnego ma prawo przedstawienia wszelkich dowodów, np. dokumentów mających wpływ na jej sytuację, a w konsekwencji na treść wydanego przez organ rozstrzygnięcia. Organ dokonuje oceny tych dowodów, a następnie w uzasadnieniu decyzji wskazuje okoliczności, które uznał za udowodnione, dowody, na których się oparł oraz przyczyny, z powodu których innym odmówił mocy dowodowej. Wobec powyższego wszelkie pisma strony składane w postępowaniu powinny zostać załączone do akt sprawy i ocenione w trakcie postępowania.

Wobec powyższego, mając na uwadze wskazane powyżej zasady RODO oraz przepisy prawa regulujące realizację określonych zadań przez ośrodki pomocy społecznej, np. Kodeks postępowania administracyjnego, administrator powinien dokonywać analizy, czy określony dokument zawierający dane osobowe istotnie został przesłany nadmiarowo lub pomyłkowo i w zależności od wyników takiej analizy np. pozostawić dokument w aktach sprawy, zwrócić lub przekazać zgodnie z właściwością do innego organu.

2022-01-11