Ocena Skutków dla Ochrony Danych Osobowych

I. ETAP 1: Ustalenie stanu faktycznego

Art. 35 RODO ust. 1 RODO wskazuje, że jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków dla ochrony danych (DPIA). Prezes Urzędu Ochrony Danych Osobowych w Komunikacie z dnia 20 listopada 2018 r. wskazał rodzaje operacji przetwarzania wymagających oceny skutków. Administrator oceniając, czy dany rodzaj operacji będzie podlegał obowiązkowi przeprowadzenia DPIA, musi wziąć pod uwagę, wskazane na wstępie przesłanki. Jeżeli jakakolwiek z nich zostanie spełniona, dokonanie DPIA jest obligatoryjne. UODO podkreśla, że każdy z przykładów obszarów zastosowania ma charakter wyłącznie ilustracyjny, a w konsekwencji „Przykłady operacji/ zakresu danych/ okoliczności, w których może wystąpić wysokie ryzyko naruszenia dla danego rodzaju operacji przetwarzania” nie mają charakteru wyczerpującego. W przypadku transmisji posiedzeń z organów kolegialnych tylko za pomocą serwisu YouTube zachodzi wysokie prawdopodobieństwo zagrożenia dla praw i wolności osoby fizycznej.

II. ETAP: Opis przetwarzania

Tabela nr 1

Lp. Dane do identyfikacji procesu Opis przetwarzania

Opis czynności przetwarzania Prowadzenie transmisji i nagrywanie obrad organów kolegialnych Rady Miasta Wrocławia

Cel czynności przetwarzania Realizacja obowiązku prawnego, w celu zapewnienia dostępu do informacji publicznej obywatelom

Podstawa prawna przetwarzania Art. 11b ust 1 Ustawy o samorządzie gminnym, Art. 6 ust. 1 lit. c RODO

Administrator danych Rada Miasta Wrocławia

Podmioty przetwarzające Miejski Ośrodek Informatyki we Wrocławiu

Umowy powierzenia przetwarzania danych osobowych

Systemy wspierające przetwarzanie

Planowane przepływy danych

Charakter przetwarzania ● W jaki sposób dane będą gromadzone, wykorzystywane, przechowywane i usuwane?

W zakresie obrad sesji- dane zbierane są poprzez rejestrowanie wystąpień radnych oraz ew. gości na sesji. Następnie są rejestrowane na serwerach oraz transmitowane.

● Jakie jest źródło danych?

Radni- uczestnicy sesji

● Czy dane będą komuś udostępniane?

Transmisja jest formą udostępnienia danych.

Zakres przetwarzania: ● Jakie dane są przetwarzane w związku organizacją, transmisją i nagrywaniem sesji rady?

Radni co do zasady nie powinni operować danymi osobowymi, a jeżeli już to dane osób pełniących funkcje publiczne w związku z pełnieniem tej funkcji. Jednakże zdarza się, że ze względu na duże emocje- przetwarzają i inne, dodatkowe dane- w tym dane szczególnej kategorii- w tym takie jak dane dotyczące stanu zdrowia.

● Ile danych będzie gromadzonych i wykorzystywanych?

Trudno określić ile danych odbywa się na każdej sesji

● Jak często?

Zazwyczaj co miesiąc, gdy sesja jest zwołana.

● Ilu osób dotyczy przetwarzanie?

Należy założyć, że dotyczy to radnych- a więc 48 osób, pracowników Rady Miasta Wrocławia pełniących funkcje publiczne, przedstawicieli organu wykonawczego, dyrektorów jednostek organizacyjnych.

● Okres retencji danych

Dane przetwarzane są przez 4 lata

● Określenie obszar przetwarzania danych np. miasto, dzielnica, wspólnota, spółdzielnia mieszkaniowa itp.

Dane dostępne są w internecie- dotyczy jednak wspólnoty samorządowej- a więc z założenia obszar Wrocław.

Kontekst przetwarzania: ● Kontekst wewnętrzny – obejmujący czynniki wewnętrzne podmiotu, firmy, jej organizacji

● Kontekst zewnętrzny – obejmujący czynniki zewnętrzne, w których działa podmiot, firma

● Kontekst powinien definiować elementy związane ze środowiskiem prawnym, geograficznym, politycznym oraz społecznym, w jakim funkcjonuje firma i przetwarzane są dane osobowe. Należy określić takie elementy jak: lokalne lub branżowe regulacje prawne na podstawie, których działa podmiot, zakres terytorialny przetwarzania danych (Wrocław lub poza Wrocław), inwentaryzacja aktywów dla dokładności oraz skuteczności procesu szacowania ryzyka.

Najważniejszy aspekt- to różnorodność zadań rady. Z jednej strony są one wymienione w ustawie o samorządzie gminnym- z drugiej radni, w ramach wolnych wniosków- poruszają tematy różne. W szczególności należy zwrócić uwagę na rozpatrywanie skarg przez radę oraz petycję. W pismach tych często zawarto dane osobowe- przewodniczący referujący skargi oraz radni powinni pamiętać o nieujawnianiu publicznie danych osoby skarżącej.

III. Opis procesu konsultacji wewnętrznych i zewnętrznych

Tabela nr 2

Opinie wewnętrzne np.: Miejski Ośrodek Informatyki we Wrocławiu, zespół radców prawnych, specjalista do spraw bezpieczeństwa, pracownicy Biura Rady Miejskiej Wrocławia

● Opinia Miejskiego Ośrodka Informatyki we Wrocławiu - Po przeprowadzeniu analizy ryzyka, oraz sprawdzeniu aktualnych przepisów dotyczących pozyskiwania danych osobowych w związku z transmisją sesji rady Wrocławia zalecono przeprowadzenie oceny skutków dla ochrony danych osobowych oraz przegląd i aktualizację umów powierzenia. W przypadku braku umowy powierzenia na transmisję rady Wrocławia na serwisie YouTube (co jest niemożliwe, ponieważ serwis ten nie daje możliwości zawarcia takiej umowy), należy bezwzględnie zawrzeć umowę powierzenia z firmą która umożliwia automatyczny moduł transmisji obrad, automatyczny portal mieszkańca zawierający kompletne informacje o pracy rady oraz pełną integrację z BIP. Należy zapewnić także inny alternatywny streaming transmisji posiedzeń organów kolegialnych. Oprogramowanie powinno także zapewniać możliwość tworzenia kopii zapasowych z tych posiedzeń. Niedopuszczalna jest praktyka umieszczenia na BIP odesłania do linku na YouTube. Zgodnie z wytycznymi UODO: „Należy zwrócić uwagę, że ustawodawca w sposób szczególny wyróżnił BIP, jak i strony internetowe jednostki samorządu terytorialnego, co do zasady wskazując je jako docelowe miejsca publikacji nagrań. Zarówno transmisja, jak i udostępnienie w Internecie nagrań posiedzeń kolegialnych organów jednostek samorządu terytorialnego powinno się zatem koncentrować przede wszystkim w tych właśnie publikatorach, a w innych jedynie w przypadku, gdy miejsce publikacji nagrania umożliwia administratorowi pełną kontrolę nad danymi osobowymi i realizację wynikających z RODO obowiązków”

Miejski Ośrodek Informatyki we Wrocławiu: sprawdzono i zaktualizowano środki zapewniające bezpieczeństwo danych przetwarzanych w związku z publikacja nagrań posiedzeń organów kolegialnych.

Opinie podmiotów zewnętrznych

III. Określenie niezbędności oraz proporcjonalności danych art. 35 ust. 7 lit b RODO

Tabela nr 3

Środki, których podjęcie jest planowane w celu zapewnienia przestrzegania RODO

Pytanie Odpowiedź

Czy cele przetwarzania są konkretne, wyraźne i prawnie uzasadnione (art. 5 ust. 1 lit. b)? Tak, określone przepisami prawa

Jaka jest podstawa prawna przetwarzania danych? Art. 11b Ustawy o samorządzie gminnym

Czy Administrator zbiera dane wyłącznie w zakresie niezbędnym do określonego celu (minimalizacja danych) (art. 5 ust. 1 lit. c)? Tak, zgodnie z wymogami ustawowymi. Jednak Rada Miasta Wrocławia nie ma realnego wpływu na treści ujawnione we wnioskach, petycjach czy skargach składanych przez mieszkańców, stowarzyszenia, różnego typu organizacje itp.

Czy dane są przechowywane wyłącznie przez czas niezbędny do ich przetwarzania (art. 5 ust. 1 lit. e) Tak, zgodnie z obowiązującymi przepisami RODO, zasadami publikacji danych na BIP

W jaki sposób Administrator weryfikuje prawidłowość danych i je uaktualnia (art. 5 ust. 1 lit. d)? Poprzez uprawnionych pracowników Biura Rady Miejskiej Wrocławia

Czy Administrator weryfikuje podmiot przetwarzający w sposób zapewniający, że procesor będzie przetwarzał powierzone dane zgodnie z przepisami RODO? Tak, zgodnie z zaleceniami Prezesa UODO.

Czy dane będą przekazywane poza Wrocław, jeśli tak to, w jaki sposób dane zostaną zabezpieczone? Tak, wykorzystywane serwery Google mogą znajdować się poza terenem EOG. Dane zabezpieczone są poprzez szyfrowanie.

Tabela nr 4

Środki przyczyniające się do zachowania praw osób, których dane dotyczą

Pytanie Odpowiedź

Czy Administrator realizuje obowiązki informacyjne z art. 13 i 14 RODO? Tak, zgodnie z RODO

Czy obowiązek informacyjny jest przekazywany w zwięzłej, przejrzystej łatwo dostępnej formie oraz napisany jest prostym językiem? (art. 12 ust. 1 RODO) Tak, Administrator sporządza klauzule informacyjne zgodnie z zaleceniami UODO o przejrzystej i zrozumiałej formie.

W jaki sposób osoba fizyczna może realizować prawo dostępu do danych osobowych? (art. 15 ust. 1 RODO) Poprzez kontakt z Administratorem: pisząc na adres: pl. Nowy Targ 1 50-141 Wrocław lub poprzez [email protected].

Jakie środki podejmuje Administrator, aby zapewnić osobie fizycznej prawo realizacji uzyskania kopii danych? (art. 15 ust. 3 RODO) Informacja na stronie internetowej, kontakt z Biurem Rady Miejskiej Wrocławia, wskazanie sposobów kontaktu w obowiązkach informacyjnych

W jaki sposób osoba fizyczna może sprostować swoje dane? (art. 16 RODO) Kontaktując się z Biurem Rady Miejskiej Wrocławia lub Miejskim Ośrodkiem Informatyki we Wrocławiu, kontakt wskazany jest na stronie internetowej i w obowiązkach informacyjnych.

Czy osobie fizycznej przysługuje prawo do usunięcia danych? (art. 17 RODO) Nie. Do ochrony danych osobowych stosowana jest anonimizacja w publikowanych nagraniach z posiedzeń rady

W jaki sposób osoby fizyczne mogą wyegzekwować prawo do ograniczenia przetwarzania i prawo do sprzeciwu? (art. 18 i art. 21 RODO) Kontaktując się z Biurem Rady Miejskiej Wrocławia lub Miejskim Ośrodkiem Informatyki we Wrocławiu kontakt wskazany jest na stronie internetowej i w obowiązkach informacyjnych.

Czy Administrator informuje o sprostowaniu lub usunięciu lub ograniczeniu przetwarzania każdego odbiorcę, któremu ujawniono dane osobowe? (art. 19 RODO) Tak, w obowiązkach informacyjnych.

Czy osobie fizycznej przysługuje prawo do przenoszenia danych? (art. 20 RODO) Nie

VI. ETAP 6 Podsumowanie oceny skutków

Wnioski i akceptacja oceny skutków dla ochrony danych

Zagadnienie Jan Kowalski, Inspektor Ochrony Danych, 2023-10-27, Wrocław Uwagi

Zatwierdzenie środków redukującego ryzyko Zatwierdzone środki należy uwzględnić w procesie planowania przetwarzania danych osobowych oraz wskazać terminy i osoby odpowiedzialne

Zatwierdzenie ryzyka szczątkowego W przypadku wysokiego ryzyka naruszenia praw i wolności osób, których dane dotyczą i próby jego minimalizacji nie prowadzą do jego obniżenia - przed rozpoczęciem czynności przetwarzania należy skonsultować się z organem nadzorczym

Opinia IOD, jeśli został wyznaczony IOD powinien doradzać w sprawie zgodności, środków z tabeli nr 4 oraz wyrazić opinię czy przetwarzanie jest możliwe

Opinia IOD przyjęta lub odrzucona przez Uzasadnienie decyzji o odrzuceniu opinii IOD

Zapoznanie się z opiniami zewnętrznymi Jeżeli decyzja IOD odbiega od poglądów poszczególnych ekspertów, należy ją uzasadnić

Przeglądy oceny skutków dla ochrony danych IOD i Administrator powinni dokonywać przeglądu oceny