Resort zdrowia upublicznił adresy e-mailowe zgłaszających uwagi do projektu jednego z rozporządzeń. Eksperci mówią o wycieku danych, a nawet bezpodstawnym ich przetwarzaniu. Organ nadzorczy nie widzi problemu i powołuje się na ustawę o działalności lobbingowej.
Ministerstwo Zdrowia poinformowało w maju, że prowadzi konsultacje publiczne dotyczące projektu rozporządzenia w sprawie zapotrzebowań oraz wydawania z apteki produktów leczniczych, środków spożywczych specjalnego przeznaczenia żywieniowego i wyrobów medycznych. Uwagi można było zgłaszać wyłącznie w formie elektronicznej za pośrednictwem platformy ePUAP lub kierując wiadomości na adres e-mail Głównego Inspektoratu Farmaceutycznego (przyjmującego zgłoszenia na podstawie upoważnienia od MZ). Na początku czerwca, już po wejściu w życie RODO, ukazał się na platformie Rządowego Centrum Legislacji (RCL) dokument zatytułowany „Uwagi – Uwagi obywateli”. Zawarto w nim nie tylko treść opinii farmaceutów, lecz także ich imiona i nazwiska, adresy mailowe, a w niektórych przypadkach informacje o stażu pracy i fakcie posiadania przez nich apteki.
Zdaniem ekspertów działanie resortu można uznać za naruszenie przepisów unijnego rozporządzenia o ochronie danych osobowych (RODO). – Udostępnienie danych osobowych przez władzę publiczną w taki sposób powinno zostać zgłoszone jako naruszenie ochrony danych do prezesa Urzędu Ochrony Danych Osobowych i może podlegać karze nawet do 100 tys. zł. Działanie to może być bowiem ocenione jako wyciek danych osobowych – uważa dr Marlena Sakowska-Baryła, radca prawny i partner w Sakowska-Baryła Czaplińska Kancelaria Radców Prawnych sp.p. oraz redaktor naczelna „ABI Expert”.
Wtóruje jej radca prawny Andrzej Lewiński, zastępca generalnego inspektora ochrony danych osobowych w latach 2006–2016, obecnie prezes Fundacji im. Józefa Wybickiego oraz przewodniczący komitetu ds. ochrony danych osobowych Krajowej Izby Gospodarczej. Jego zdaniem podanie do publicznej wiadomości danych osób fizycznych, pozwalających na ich jednoznaczną identyfikację, jest bezprawne. – Przetwarzanie wskazanych danych osobowych przez ministerstwo i przekazanie ich innemu administratorowi (RCL) nie jest zasadne, gdyż nie łączy się z wypełnieniem zadania wskazanego prawem, czyli postępowania legislacyjnego – podkreśla mec. Andrzej Lewiński. Dodaje, że władza publiczna nie zadbała również o spełnienie obowiązku informacyjnego. Tym samym zgłaszający uwagi nie wiedzieli, że ich dane zostaną udostępnione RCL.
RODO. Zdrowie człowieka ważniejsze od ochrony danych
RODO. Zdrowie człowieka ważniejsze od ochrony danych

Zobacz również

Urzędy się tłumaczą

Jednak zarówno Ministerstwo Zdrowia, jak i Urząd Ochrony Danych Osobowych nie widzą problemu. Agnieszka Świątek-Druś, rzecznik prasowy UODO, wyjaśnia, że opisywaną sprawę należy rozpatrywać z uwzględnieniem przepisów ustawy z 7 lipca 2005 r. o działalności lobbingowej (t.j. Dz.U z 2017 r. poz. 248). Nie dotyczy ona bowiem wyłącznie zawodowych lobbystów. Zgodnie z jej art. 2 ust. 1 „działalnością lobbingową jest każde działanie prowadzone metodami prawnie dozwolonymi zmierzające do wywarcia wpływu na organy władzy publicznej w procesie stanowienia prawa”. Z kolei art. 6 tej ustawy mówi, że z chwilą udostępnienia w Biuletynie Informacji Publicznej wykazów prac legislacyjnych, o których mowa w art. 3 i art. 4 (chodzi o wykazy dotyczące założeń projektów ustaw, projekty ustaw i różnego typu rozporządzeń), albo w przypadku, gdy projekt nie był zawarty w żadnym z tych wykazów – udostępnieniu podlegają wszelkie dokumenty dotyczące prac nad projektem. Podobnie stanowi par. 52 ust. 3 uchwały Rady Ministrów z 29 października 2013 r. Mówi on, że publikacji w serwisie RCL podlegają wszelkie dokumenty dotyczące prac nad projektem, w tym zgłoszenia zainteresowania pracami nad projektem wniesione w trybie przepisów o działalności lobbingowej w procesie stanowienia prawa.
Tryb ten opisuje art. 7 ustawy o działalności lobbingowej. Wskazuje on, iż zgłoszenie zainteresowania pracami nad projektami zmian w prawie wnosi się na urzędowym formularzu do organu odpowiedzialnego za przedłożenie lub opracowanie projektu. Podlega ono udostępnieniu, z wyjątkiem adresów osób fizycznych, w Biuletynie Informacji Publicznej jako dokument dotyczący prac nad projektem przepisów prawa. Do zgłoszenia dołącza się m.in. imiona, nazwiska i adresy osób uprawnionych do reprezentowania podmiotów, na których rzecz się lobbuje, ewentualnie wyciąg z Krajowego Rejestru Sądowego tego podmiotu.
Krzysztof Jakubiak, dyrektor biura prasy i promocji Ministerstwa Zdrowia, dodaje, że powyższe podstawy spełniają wymogi określone w motywie 45 preambuły do unijnego rozporządzenia RODO. Stanowi on, że jeżeli przetwarzanie odbywa się w celu wypełnienia obowiązku prawnego, któremu podlega administrator, lub jeżeli jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, podstawę przetwarzania powinno stanowić prawo Unii lub prawo państwa członkowskiego. Resort zdrowia tłumaczy też, że podmioty zgłaszające uwagi do projektu rozporządzenia powinny mieć świadomość, że proces legislacyjny jest jawny, a przesłane w ramach tego procesu pisma zostaną upublicznione. – Ma tu zastosowanie reguła kolizyjna, lex specialis derogat legi generali, norma szczególna uchyla normę generalną – wyjaśnia Krzysztof Jakubiak.
Motyw 45 preambuły do RODO
„Jeżeli przetwarzanie odbywa się w celu wypełnienia obowiązku prawnego, któremu podlega administrator, lub jeżeli jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, podstawę przetwarzania powinno stanowić prawo Unii lub prawo państwa członkowskiego. Niniejsze rozporządzenie nie nakłada wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator, lub że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej. Prawo Unii lub prawo państwa członkowskiego powinno określać także cel przetwarzania.”

Inna procedura

Ekspertów te wyjaśnienia nie przekonują. Doktor Paweł Litwiński, adwokat z kancelarii Barta Litwiński zauważa, że zbieranie uwag odbyło się z pominięciem przytoczonej przez UODO procedury określonej w ustawie o działalności lobbingowej. Farmaceuci wysyłali bowiem swoje uwagi bezpośrednio na adres mailowy GIF. – Czym innym jest również wspomniane przez UODO zgłoszenie zainteresowania prac nad projektami zmian prawa, a czym innym złożenie stanowiska w konsultacjach publicznych – dodaje. Prawnik przypomina też, że uchwała Rady Ministrów nie stanowi źródła prawa wymaganego przez RODO oraz art. 51 Konstytucji RP (wskazującego, że prawo do ochrony danych obywateli może być uregulowane tylko w drodze ustawy). Zdaniem eksperta, w kontekście opisywanej sprawy nie powinna więc być brana pod uwagę.
Podobnie wypowiada się mec. Andrzej Lewiński. Zauważa on, że farmaceuci powinni od początku wiedzieć, że zostaną uznani za lobbystów. – Przecież w dokumencie upublicznionym w RCL wezwano konkretnych przedstawicieli branży do konsultacji społecznych. Nie poinformowano, że każdy obywatel, który również postanowi przesłać swoje uwagi, zostanie uznany za lobbystę – podkreśla mec. Andrzej Lewiński. Zauważa również, że tłumaczenia resortu zdrowia i organu nadzorczego są bezpodstawne chociażby dlatego, że ministerstwo samo uznało, że przesłane zgłoszenia stanowią „uwagi obywateli” – wszak dokładnie taką nazwę nosi udostępniony w RCL plik.

Dla GIODO sprawa była jasna, dla UODO nie jest

W ocenie mec. Andrzeja Lewińskiego sytuacja z farmaceutami to efekt bałaganu w organach władzy publicznej. – Ewidentnie doszło do naruszenia i teraz organ nadzorczy usilnie szuka wymówki, aby nie musieć nikogo ukarać – uważa. Przekonanie eksperta może potwierdzać to, że w 2012 r. organ nadzorczy (wówczas jeszcze generalny inspektor ochrony danych osobowych, GIODO) występował do Ministerstwa Sprawiedliwości z informacją, że resort udostępnił RCL zbyt wiele danych obywateli. Pismo było efektem skargi złożonej przez obywatela – uczestnika konsultacji publicznych. GIODO stanowczo zaznaczył wówczas, że mimo podstawy prawnej w postaci ustawy o działalności lobbingowej należy uwzględnić zasady dotyczące ochrony prywatności. Dla organu nadzorczego było oczywiste, że w sytuacji, gdy osoba fizyczna decyduje się uczestniczyć w konsultacjach społecznych na temat aktu prawnego, musi zgodzić się na utratę części prywatności poprzez publikację jej danych w BIP, konieczna jest bowiem jej identyfikacja. Nie oznacza to jednak, iż mogą być publikowane jej dane zbędne z punktu widzenia tej identyfikacji, np. numer PESEL, adres czy adres e-mailowy.
Dziś UODO – mając znaczne szersze kompetencje wynikające z rozporządzenia RODO – zakłada, że e-maile od farmaceutów, będących profesjonalnymi uczestnikami rynku, mogą stanowić działalność lobbingową. Gdy jednak wskazaliśmy, że wielu farmaceutów wysyłało swoje wiadomości z prywatnych adresów w domenie mailowej typu „gmail.com”, „wp.pl” czy „interia.pl”, przedstawiciele UODO uznali, że wiążące stanowisko urząd mógłby zająć „jedynie w decyzji administracyjnej po wcześniejszym zbadaniu wszystkich okoliczności sprawy”.

Czy farmaceuci się poskarżą?

Sprawa może mieć ciąg dalszy, bo jak wyjaśnia rzeczniczka UODO, gdyby się okazało, że ktoś zgłaszał uwagi do projektu jako osoba fizyczna, a został upubliczniony jej prywatny adres, to może wnieść skargę na administratora danych (czyli w tym przypadku Ministerstwo Zdrowia) do prezesa urzędu. A jeśli ten uzna, że faktycznie doszło do naruszenia przepisów, to może skorzystać z określonych w RODO uprawnień, takich jak np. wydanie ostrzeżenia, udzielenie upomnienia, nakazanie spełnienia żądania osoby, której dane dotyczą, nakazanie dostosowania operacji przetwarzania do przepisów RODO albo nakazanie usunięcia danych osobowych. – Prezes UODO może również nałożyć, o ile uznałby to za zasadne, administracyjną karę finansową, której górna granica w przypadku podmiotów publicznych wynosi do 100 tys. zł. Ustalając wysokość kary, organ nadzorczy musiałby brać pod uwagę 11 różnych czynników wskazanych w art. 83 RODO – zastrzega jednak Agnieszka Świątek-Druś z UODO. Jest jeszcze możliwość dochodzenia swoich praw w sądzie powszechnym zgodnie z art. 79 RODO. A jeśli osoba, której dane dotyczą, w wyniku naruszenia przepisów RODO poniosła szkodę majątkową lub niemajątkową, może też domagać się odszkodowanie od administratora lub podmiotu przetwarzającego (art. 82 RODO).
Z naszych informacji wynika, że niektórzy konsultujący projekt MZ planują złożenie skargi do prezesa UODO. Wysyłając swoje uwagi, nie identyfikowali się bowiem jako farmaceuci. – Bardzo zdenerwowało mnie publiczne udostępnienie mojego prywatnego adresu mailowego. Zamierzam wnieść skergę – mówi DGP Anna Kuczera, farmaceutka opiniująca projekt.

Anonimowość sprzyja opiniowaniu

Pozostaje jeszcze aspekt społeczny. Mianowicie publikowanie w RCL uwag konkretnych osób fizycznych może ich zniechęcić do zgłaszania uwag w przyszłości. Tak uważa m.in. Łukasz Waligórski, członek Naczelnej Rady Aptekarskiej i redaktor naczelny branżowego portalu Mgr.farm, który jako pierwszy zauważył możliwe naruszenie przepisów RODO przez resort zdrowia. – Takie działanie może odstraszać od wyrażania poglądów w drodze formalnej. Anonimowość daje bowiem odwagę do dzielenia się swoimi opiniami, szczególnie szczerymi i negatywnymi – wyjaśnia. Przy okazji opowiada o akcji, którą niedawno koordynował. Chodzi o wysyłanie e-maili od farmaceutów do resortu zdrowia w sprawie rozporządzenia dotyczącego recept. Było ich ponad 200 i wówczas ministerstwo nie zdecydowało się na publikację. Dlatego Łukasz Waligórski dziwi się, że stało się to teraz, gdy w konsultacjach publicznych pojawiło się kolejne kontrowersyjne rozporządzenie. Także inni farmaceuci zauważają, że do tej pory MZ nie upubliczniało w ten sposób ich uwag. Podejrzewają, że opisywana sytuacja to resortowy sposób na zniechęcenie ich do krytykowania projektów ustaw. Jednak w tej sprawie nie idzie przecież o sprzeciw wobec udostępnianiu w RCL treści uwag konsultujących projekty, ale o zadbanie o dane osób, które je przesyłają. – Nie ma realnej potrzeby, aby władza publiczna ujawniała dane osób fizycznych. Nie ma bowiem znaczenia, który obywatel złożył uwagę do projektu, lecz jakiej była ona treści – konkluduje dr Marlena Sakowska-Baryła.
WAŻNE Publikacji w serwisie RCL podlegają wszelkie dokumenty dotyczące prac nad projektem, także zgłoszenia osób zainteresowanych przebiegiem prac legislacyjnych nad nim. Zgodnie z ustawą o działalności lobbingowej wnosi się je na urzędowym formularzu do organu odpowiedzialnego za projekt.