Kontrola w jednostce budżetowej a przepisy RODO

Czy kontrolerzy mogą wynosić dokumenty poza siedzibę MOPS?

Co do zasady tak, jeżeli dokumenty są związane z zakresem kontroli, a kontrolerzy działają na podstawie prawidłowego upoważnienia. Art. 22 pkt 2 ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej przyznaje kontrolerowi prawo do wglądu do dokumentów dotyczących działalności jednostki kontrolowanej, pobierania ich za pokwitowaniem oraz zabezpieczania dokumentów związanych z zakresem kontroli, z zachowaniem przepisów o tajemnicy prawnie chronionej.

Oznacza to, że samo powołanie się przez MOPS na RODO nie jest wystarczającą podstawą do odmowy wydania dokumentów. Jeżeli kontrola dotyczy działalności MOPS, a dokumenty są niezbędne do realizacji celu kontroli, administrator danych powinien umożliwić czynności kontrolne. Wyniesienie dokumentów poza siedzibę jednostki nie jest samo w sobie naruszeniem RODO, jeżeli wynika z ustawowego uprawnienia kontrolera i odbywa się w sposób udokumentowany oraz zabezpieczony.

Nie oznacza to jednak dowolności. Kontroler nie powinien żądać dokumentów niezwiązanych z kontrolą, a jednostka kontrolowana ma prawo dbać o to, aby przekazanie było opisane, rozliczalne i ograniczone do zakresu kontroli. Wynika to z zasady minimalizacji danych określonej w art. 5 ust. 1 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO, oraz z zasady rozliczalności z art. 5 ust. 2 RODO.

RODO a kontrola w jednostce budżetowej

W czasie kontroli trzeba odróżnić dwa etapy przetwarzania danych osobowych. Pierwszy dotyczy jednostki kontrolowanej, czyli MOPS jako administratora danych w rozumieniu art. 4 pkt 7 RODO. Drugi dotyczy organu kontrolującego, który po otrzymaniu dokumentów przetwarza dane dla własnych, ustawowych celów kontrolnych.

Podstawą legalności udostępnienia danych kontrolerom może być art. 6 ust. 1 lit. c RODO, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, w związku z art. 24 i art. 25 ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej. Dodatkowo po stronie organu kontrolującego zastosowanie ma art. 6 ust. 1 lit. e RODO, jeżeli przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.

Art. 22 pkt 4 ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej wprost przyznaje kontrolerowi prawo do przetwarzania danych osobowych w zakresie niezbędnym do realizacji celu kontroli. Jeżeli dokumenty zawierają szczególne kategorie danych, na przykład dane o zdrowiu, niepełnosprawności lub sytuacji socjalnej osób korzystających z pomocy społecznej, należy dodatkowo ocenić przetwarzanie w świetle art. 9 ust. 2 lit. g RODO, czyli ważnego interesu publicznego na podstawie prawa Unii lub prawa państwa członkowskiego, z zachowaniem proporcjonalności i odpowiednich zabezpieczeń.

W przypadku dokumentów dotyczących pomocy społecznej znaczenie może mieć także art. 100 ust. 1 ustawy z dnia 12 marca 2004 r. o pomocy społecznej, który nakazuje kierować się dobrem osób korzystających z pomocy społecznej i ochroną ich dóbr osobistych, a w szczególności nie podawać do wiadomości publicznej nazwisk osób korzystających z pomocy społecznej oraz rodzaju i zakresu przyznanego świadczenia. Przepis ten nie wyłącza kontroli, ale wzmacnia obowiązek poufnego obchodzenia się z dokumentami.

Czy potrzebna jest umowa powierzenia z organem kontrolującym?

Nie. Umowa powierzenia z art. 28 ust. 3 RODO jest wymagana wtedy, gdy podmiot przetwarzający przetwarza dane osobowe w imieniu administratora. Organ kontrolujący nie działa w imieniu MOPS. Działa na podstawie własnych kompetencji ustawowych, określonych w ustawie z dnia 15 lipca 2011 r. o kontroli w administracji rządowej, dlatego w zakresie czynności kontrolnych jest odrębnym administratorem danych.

W praktyce oznacza to, że MOPS nie powinien żądać od urzędu wojewódzkiego podpisania umowy powierzenia jako warunku wydania dokumentów. Może natomiast żądać okazania upoważnienia do kontroli, ustalenia zakresu kontroli oraz pokwitowania pobranych dokumentów, ponieważ te elementy służą rozliczalności i bezpieczeństwu przetwarzania danych.

Oryginały, kopie i pokwitowanie

Najważniejsza różnica dotyczy tego, czy kontroler pobiera oryginały dokumentów, czy otrzymuje kopie, odpisy, wyciągi, zestawienia lub obliczenia. Art. 22 pkt 2 ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej mówi o pobieraniu dokumentów za pokwitowaniem. Art. 22 pkt 3 tej ustawy przyznaje natomiast prawo do sporządzania oraz żądania sporządzenia kopii, odpisów, wyciągów, zestawień lub obliczeń niezbędnych do kontroli.

Przy kopiach ustawa nie zawiera tak jednoznacznego wymogu pokwitowania jak przy pobieraniu dokumentów na podstawie art. 22 pkt 2. Z punktu widzenia RODO i praktyki kontrolnej warto jednak przygotować wykaz przekazanych kopii. Wykaz powinien obejmować co najmniej datę, nazwę dokumentu, liczbę stron, zakres sprawy, osobę przekazującą i osobę odbierającą.

Takie działanie ułatwia wykazanie zgodności z zasadą rozliczalności z art. 5 ust. 2 RODO oraz z obowiązkiem wdrożenia odpowiednich środków organizacyjnych z art. 24 ust. 1 RODO.

Obowiązki kierownika i pracowników jednostki kontrolowanej

Art. 24 ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej nakłada na kierownika jednostki kontrolowanej obowiązek zapewnienia kontrolerowi warunków niezbędnych do sprawnego przeprowadzenia kontroli. Przepis wymienia w szczególności niezwłoczne przedstawianie żądanych dokumentów, terminowe udzielanie wyjaśnień, udostępnianie niezbędnych urządzeń technicznych i zapewnienie dostępu do Internetu oraz, w miarę możliwości, oddzielnego pomieszczenia z odpowiednim wyposażeniem.

Art. 25 pkt 1 tej ustawy nakłada na pracownika jednostki kontrolowanej obowiązek niezwłocznego przedstawiania, na żądanie kontrolera, dokumentów, materiałów i informacji niezbędnych do przeprowadzenia kontroli. Art. 25 pkt 2 zobowiązuje pracownika do sporządzenia kopii, odpisów lub wyciągów z dokumentów oraz zestawień i obliczeń, a zgodność tych materiałów z oryginałem potwierdza kierownik komórki organizacyjnej, w której dokumenty się znajdują.

Jeżeli pracownik lub kierownik odmawia udostępnienia dokumentów wyłącznie z powodu RODO, mimo że żądanie mieści się w zakresie kontroli, może narazić jednostkę na zarzut utrudniania kontroli. Inaczej będzie, gdy żądanie wykracza poza zakres upoważnienia, dotyczy dokumentów niezwiązanych z kontrolą albo narusza szczególne zasady ochrony tajemnicy prawnie chronionej. W takim przypadku należy zgłosić zastrzeżenie w sposób formalny, najlepiej pisemnie, bez samowolnego blokowania całej kontroli.

Jak bezpiecznie przekazać dokumenty kontrolerom?

RODO nie wskazuje jednej technicznej procedury przekazania akt kontrolerom. Administrator powinien jednak dobrać środki bezpieczeństwa odpowiednie do ryzyka, zgodnie z art. 32 ust. 1 RODO. W jednostce budżetowej praktyczne znaczenie mają przede wszystkim: identyfikacja kontrolera, potwierdzenie zakresu kontroli, ewidencja wydanych dokumentów, ochrona przed dostępem osób nieuprawnionych oraz kontrola zwrotu oryginałów.

W praktyce warto stosować następujące zasady:

• sprawdzić upoważnienie do kontroli oraz zakres kontroli przed wydaniem dokumentów;
• nie przekazywać dokumentów wykraczających poza zakres kontroli, chyba że kontroler wyraźnie rozszerzy żądanie na podstawie właściwych przepisów;
• przy oryginałach żądać pokwitowania zgodnie z art. 22 pkt 2 ustawy o kontroli w administracji rządowej;
• przy kopiach sporządzić wykaz kopii, nawet jeżeli ustawa nie wymaga wprost pokwitowania dla każdej kopii;
• oznaczyć dokumenty zawierające dane szczególnych kategorii lub tajemnice prawnie chronione;
• odnotować zwrot oryginałów i stan dokumentów po zwrocie;
• w razie incydentu ocenić obowiązek zgłoszenia naruszenia ochrony danych osobowych Prezesowi UODO na podstawie art. 33 RODO oraz zawiadomienia osób, których dane dotyczą, na podstawie art. 34 RODO.

Jeżeli doszłoby do naruszenia ochrony danych osobowych, odpowiedzialność należy oceniać według tego, który administrator miał kontrolę nad dokumentami w chwili zdarzenia. Po prawidłowym przekazaniu dokumentów organowi kontrolującemu to organ kontrolujący odpowiada za ich zabezpieczenie w ramach własnego przetwarzania. Nie wyklucza to odpowiedzialności jednostki kontrolowanej, jeżeli przekazanie nastąpiło bez podstawy prawnej, w nadmiernym zakresie albo bez podstawowych zabezpieczeń.

W odniesieniu do administracyjnych kar pieniężnych dla wybranych podmiotów publicznych trzeba uwzględnić art. 102 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, który przewiduje limit kary do 100 000 zł dla określonych jednostek sektora finansów publicznych. Dla państwowych i samorządowych instytucji kultury art. 102 ust. 2 tej ustawy przewiduje limit do 10 000 zł.

Kiedy można zgłosić zastrzeżenia do żądania kontrolera?

Jednostka kontrolowana może zgłosić zastrzeżenia, jeżeli żądanie kontrolera nie mieści się w zakresie kontroli, nie wynika z upoważnienia, obejmuje dokumenty niezwiązane z przedmiotem kontroli albo narusza przepisy o tajemnicy prawnie chronionej. Art. 22 pkt 2 ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej nakazuje wykonywać uprawnienia kontrolera z zachowaniem przepisów o tajemnicy prawnie chronionej.

Zastrzeżenie nie powinno jednak polegać na ogólnej odmowie pod hasłem RODO. Bezpieczniejszym rozwiązaniem jest pisemne wskazanie, które dokumenty budzą wątpliwości i dlaczego, oraz poproszenie kontrolera o doprecyzowanie podstawy żądania. Jeżeli kontroler podtrzymuje żądanie, warto odnotować stanowisko jednostki w aktach kontroli lub w korespondencji służbowej.

FAQ

Źródła

• Art. 4 pkt 7, art. 5 ust. 1 lit. c, art. 5 ust. 2, art. 6 ust. 1 lit. c i e, art. 9 ust. 2 lit. g, art. 24 ust. 1, art. 28 ust. 3, art. 32 ust. 1, art. 33, art. 34 oraz art. 83 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r., RODO.
• Art. 22 pkt 2, art. 22 pkt 3, art. 22 pkt 4, art. 24 oraz art. 25 ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej.
• Art. 100 ust. 1 ustawy z dnia 12 marca 2004 r. o pomocy społecznej.
• Art. 102 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.