Ujawnienie zarobków pracownika jednostki samorządowej a RODO

Jawność wynagrodzeń w jednostce samorządowej a ochrona prywatności

W sprawach dotyczących wynagrodzeń pracowników jednostek samorządowych trzeba rozdzielić dwie kwestie: jawność gospodarowania środkami publicznymi oraz ochronę danych osobowych i prywatności pracowników. Zgodnie z art. 61 ust. 1 Konstytucji Rzeczypospolitej Polskiej obywatel ma prawo do uzyskiwania informacji o działalności organów władzy publicznej oraz osób pełniących funkcje publiczne. Prawo to obejmuje także informacje o gospodarowaniu mieniem publicznym, co wynika z art. 61 ust. 1 i 2 Konstytucji RP.

Na poziomie ustawowym podstawą jest art. 1 ust. 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej, zgodnie z którym każda informacja o sprawach publicznych stanowi informację publiczną. Dodatkowo art. 33 ust. 1 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych przewiduje zasadę jawności gospodarki środkami publicznymi. Wynagrodzenia wypłacane przez MOPS, OPS, urząd gminy, szkołę publiczną czy inną jednostkę sektora finansów publicznych są finansowane ze środków publicznych, więc informacja o wydatkach na wynagrodzenia zasadniczo mieści się w sferze informacji publicznej.

Nie oznacza to jednak automatycznie, że wolno ujawnić wynagrodzenie konkretnej osoby zatrudnionej na każdym stanowisku. Art. 5 ust. 2 ustawy o dostępie do informacji publicznej ogranicza prawo do informacji publicznej ze względu na prywatność osoby fizycznej lub tajemnicę przedsiębiorcy. Ograniczenie to nie dotyczy informacji o osobach pełniących funkcje publiczne, jeżeli informacja ma związek z pełnieniem tych funkcji, w tym z warunkami powierzenia i wykonywania funkcji.

Granica między jawnością a prywatnością jest szczególnie istotna przy danych w jednostce publicznej, gdzie dokumenty i zestawienia mogą jednocześnie dotyczyć wydatkowania środków publicznych oraz prywatnej sytuacji pracowników.

Czy stanowisko i wynagrodzenie pracownika są danymi osobowymi?

Tak, mogą być danymi osobowymi. Art. 4 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, czyli RODO, definiuje dane osobowe jako informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Osobę można zidentyfikować nie tylko po imieniu i nazwisku, ale także po zestawie informacji, które w konkretnych okolicznościach pozwalają ustalić, kogo dotyczą.

Jeżeli jednostka udostępnia zestawienie, w którym wskazano stanowisko i wynagrodzenie, a na tym stanowisku zatrudniona jest tylko jedna osoba, to odbiorcy znający strukturę jednostki mogą bez większych trudności ustalić, czyje wynagrodzenie zostało ujawnione. W takim przypadku nie jest to już wyłącznie informacja o koszcie etatu, ale informacja możliwa do przypisania konkretnej osobie.

Inaczej można ocenić sytuację, gdy na tym samym stanowisku pracuje kilka lub kilkanaście osób, a jednostka podaje dane zbiorcze, widełki wynagrodzeń albo łączną kwotę wydatkowaną na grupę stanowisk. Wtedy ryzyko identyfikacji konkretnej osoby zwykle jest mniejsze, choć zawsze trzeba oceniać faktyczny kontekst: wielkość miejscowości, strukturę jednostki, publicznie dostępne informacje o pracownikach oraz treść samego wniosku.

Osoba pełniąca funkcję publiczną i zwykły pracownik jednostki

Kluczowe znaczenie ma art. 5 ust. 2 ustawy o dostępie do informacji publicznej. Jeżeli dana osoba pełni funkcję publiczną, zakres jej prywatności w sprawach związanych z wykonywaniem tej funkcji jest węższy. Dotyczy to zwłaszcza kierowników jednostek, osób wydających decyzje administracyjne, osób mających realny wpływ na gospodarowanie środkami publicznymi lub podejmowanie rozstrzygnięć w imieniu organu.

Nie każdy pracownik samorządowej jednostki organizacyjnej pełni jednak funkcję publiczną. Pracownik administracyjny, pracownik socjalny, księgowy, informatyk, sprzątaczka, opiekun czy referent mogą wykonywać zadania publiczne jako pracownicy jednostki, ale to nie zawsze oznacza pełnienie funkcji publicznej w rozumieniu art. 5 ust. 2 ustawy o dostępie do informacji publicznej. Ocena zależy od zakresu obowiązków, samodzielności decyzyjnej, upoważnień i wpływu na sprawy publiczne.

W wyroku z dnia 20 marca 2006 r., sygn. K 17/05, Trybunał Konstytucyjny wskazał, że ingerencja w prywatność osoby pełniącej funkcję publiczną musi pozostawać w związku z wykonywaniem tej funkcji. Nie wystarczy samo zatrudnienie w podmiocie publicznym. Trzeba wykazać związek informacji z funkcjonowaniem instytucji i interesem publicznym.

Kiedy udostępnienie wynagrodzenia może być nieuprawnione?

Nieuprawnione ujawnienie danych może wystąpić wtedy, gdy jednostka udostępni informację w sposób pozwalający zidentyfikować konkretnego pracownika niepełniącego funkcji publicznej, a nie ma podstaw do tak głębokiej ingerencji w jego prywatność. Przykładem jest zestawienie: „stanowisko X – wynagrodzenie brutto Y”, jeżeli w jednostce jest tylko jedna osoba na stanowisku X i lokalna społeczność łatwo ustali, o kogo chodzi.

Podstawą przetwarzania danych przez jednostkę publiczną przy rozpoznawaniu wniosku o informację publiczną może być art. 6 ust. 1 lit. c RODO, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, w związku z ustawą o dostępie do informacji publicznej. W określonych przypadkach wchodzi też w grę art. 6 ust. 1 lit. e RODO, gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym. Te podstawy nie zwalniają jednak administratora z obowiązku stosowania zasad z art. 5 ust. 1 RODO, w szczególności zasady minimalizacji danych z art. 5 ust. 1 lit. c RODO oraz zasady zgodności z prawem, rzetelności i przejrzystości z art. 5 ust. 1 lit. a RODO.

Dlatego jednostka przed udostępnieniem danych powinna rozważyć, czy wystarczy podać informację mniej ingerującą w prywatność, np. łączny koszt wynagrodzeń w danej komórce, wynagrodzenie przewidziane dla stanowiska według regulaminu, widełki wynagrodzenia albo dane po anonimizacji. Jeżeli pełne ujawnienie mogłoby naruszyć prywatność, a wnioskodawca żąda informacji publicznej, organ powinien zastosować procedurę z ustawy o dostępie do informacji publicznej, w tym w razie odmowy wydać decyzję administracyjną na podstawie art. 16 ust. 1 tej ustawy.

Czy potrzebna była zgoda pracownika?

Zgoda pracownika nie jest standardową podstawą udostępniania informacji publicznej. Jeżeli informacja podlega udostępnieniu na podstawie ustawy o dostępie do informacji publicznej, jednostka działa na podstawie obowiązku prawnego, a nie zgody. Jeżeli natomiast informacja dotyczy prywatności osoby fizycznej i nie zachodzi wyjątek z art. 5 ust. 2 ustawy o dostępie do informacji publicznej, jednostka nie powinna jej ujawniać tylko dlatego, że ktoś złożył wniosek.

W praktyce zgoda może mieć znaczenie pomocnicze, gdy informacja dotyczy osoby niepełniącej funkcji publicznej, a ujawnienie wynagrodzenia pozwoliłoby ją zidentyfikować. Trzeba jednak pamiętać, że zgoda w relacji pracownik–pracodawca jest oceniana ostrożnie. Zgodnie z art. 4 pkt 11 RODO zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. W stosunku pracy dobrowolność może być kwestionowana ze względu na podporządkowanie pracownika.

W wyroku Wojewódzkiego Sądu Administracyjnego w Rzeszowie z dnia 9 maja 2014 r., sygn. II SA/Rz 248/14, sąd zaakceptował odmowę udostępnienia informacji o wynagrodzeniach w sytuacji, gdy ujawnienie danych o grupie pracowników pozwalałoby ustalić wynagrodzenie osób, które nie wyraziły zgody na ujawnienie. Orzeczenie to dobrze pokazuje, że nawet przy informacji o stanowiskach i grupach pracowników trzeba badać realną możliwość identyfikacji konkretnych osób.

Obowiązki jednostki po ujawnieniu danych

Jeżeli jednostka doszła do wniosku, że udostępnione zestawienie pozwalało zidentyfikować pracownika i ujawniło jego wynagrodzenie bez wystarczającej podstawy, powinna przeprowadzić ocenę naruszenia ochrony danych osobowych. Art. 4 pkt 12 RODO definiuje naruszenie ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych.

Administrator powinien przede wszystkim:

• ustalić, jakie dane ujawniono i komu;
• ocenić, czy osoby można zidentyfikować bez nadmiernego wysiłku;
• ocenić ryzyko naruszenia praw lub wolności osób fizycznych;
• udokumentować naruszenie i analizę zgodnie z art. 33 ust. 5 RODO;
• rozważyć zgłoszenie naruszenia Prezesowi UODO na podstawie art. 33 ust. 1 RODO;
• rozważyć zawiadomienie osób, których dane dotyczą, na podstawie art. 34 ust. 1 RODO.

Warto także skontaktować się z odbiorcą informacji i wyjaśnić, że w ocenie jednostki określony fragment może naruszać prywatność pracownika. Nie daje to gwarancji usunięcia publikacji przez portal, ale może być istotne jako działanie ograniczające skutki naruszenia.

Kiedy trzeba zawiadomić Prezesa UODO?

Art. 33 ust. 1 RODO nakłada na administratora obowiązek zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Organem nadzorczym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych.

Jeżeli informacja o wynagrodzeniu została jedynie przekazana jednemu wnioskodawcy, ryzyko może być ocenione inaczej niż wtedy, gdy lokalny portal opublikował ją w Internecie. Publiczna publikacja dokumentu z danymi zwiększa skalę rozpowszechnienia i może podnieść ryzyko dla pracownika, zwłaszcza w małej społeczności lokalnej.

W zgłoszeniu, o którym mowa w art. 33 ust. 3 RODO, należy co najmniej opisać charakter naruszenia, wskazać kategorie i przybliżoną liczbę osób, których dane dotyczą, podać dane inspektora ochrony danych lub innego punktu kontaktowego, opisać możliwe konsekwencje naruszenia oraz środki zastosowane lub proponowane w celu zaradzenia naruszeniu.

Czy trzeba zawiadomić pracowników?

Zawiadomienie osób, których dane dotyczą, jest wymagane wtedy, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności. Wynika to z art. 34 ust. 1 RODO. Nie każde naruszenie zgłaszane Prezesowi UODO automatycznie wymaga zawiadomienia pracowników, ale w przypadku opublikowania wynagrodzeń w lokalnym portalu taka możliwość powinna być realnie rozważona.

Jeżeli dane dotyczą kilku osób, a nie tylko pracownika, który zgłosił zastrzeżenia, administrator powinien ocenić sytuację każdej z nich. Jeżeli także one są możliwe do zidentyfikowania na podstawie stanowiska, zakresu obowiązków lub innych informacji, należy rozważyć ich powiadomienie. Zawiadomienie powinno być jasne i proste. Zgodnie z art. 34 ust. 2 RODO trzeba opisać charakter naruszenia oraz przekazać co najmniej informacje i zalecenia wskazane w art. 33 ust. 3 lit. b, c i d RODO.

Czy pracownik może żądać usunięcia danych z portalu?

Pracownik może wystąpić do wydawcy portalu z żądaniem usunięcia danych na podstawie art. 17 ust. 1 RODO, jeżeli uważa, że dane są przetwarzane bezprawnie albo nie są już niezbędne do celów, w których zostały zebrane lub opublikowane. Portal jest odrębnym administratorem danych, więc samodzielnie odpowiada za rozpatrzenie żądania.

Trzeba jednak liczyć się z odmową. Art. 17 ust. 3 lit. a RODO stanowi, że prawo do usunięcia danych nie ma zastosowania w zakresie, w jakim przetwarzanie jest niezbędne do korzystania z prawa do wolności wypowiedzi i informacji. Dodatkowo art. 85 RODO nakazuje państwom członkowskim godzić ochronę danych osobowych z wolnością wypowiedzi i informacji, w tym z przetwarzaniem do celów dziennikarskich. W Polsce znaczenie mają także przepisy ustawy z dnia 26 stycznia 1984 r. Prawo prasowe, w szczególności art. 1 tej ustawy, który wskazuje na wolność prasy i jej rolę w urzeczywistnianiu prawa obywateli do informacji.

Nie oznacza to, że portal zawsze ma rację. Jeżeli publikacja zawiera dane nadmiarowe, błędne, nieaktualne, wykracza poza interes publiczny albo narusza dobra osobiste pracownika, możliwe są także inne środki prawne, w tym żądanie sprostowania materiału prasowego na podstawie art. 31a ust. 1 Prawa prasowego, skarga do Prezesa UODO albo roszczenia o ochronę dóbr osobistych na podstawie art. 23 i art. 24 Kodeksu cywilnego.

Co z obowiązkiem poinformowania odbiorców danych?

Art. 19 RODO przewiduje, że administrator informuje o sprostowaniu lub usunięciu danych osobowych albo o ograniczeniu przetwarzania, dokonanych zgodnie z art. 16, art. 17 ust. 1 i art. 18 RODO, każdego odbiorcę, któremu ujawniono dane osobowe, chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernie dużego wysiłku. Administrator informuje osobę, której dane dotyczą, o tych odbiorcach, jeżeli osoba tego zażąda.

Przepis ten nie oznacza, że jednostka zawsze musi żądać od portalu usunięcia artykułu. Jeżeli jednak jednostka sama dokonała sprostowania, usunięcia lub ograniczenia przetwarzania danych objętych żądaniem osoby, powinna ocenić, czy ma obowiązek poinformować odbiorców, którym wcześniej ujawniono dane. W praktyce warto odnotować, komu przekazano zestawienie, w jakim zakresie i jakie działania następcze podjęto.

Jak bezpiecznie odpowiadać na wnioski o wynagrodzenia?

Najbezpieczniejszy model postępowania polega na tym, aby przed udostępnieniem danych wykonać krótką analizę ryzyka identyfikacji pracowników. Jednostka powinna ustalić, czy wniosek dotyczy wynagrodzenia konkretnych osób, stanowisk, komórek organizacyjnych czy ogólnych wydatków na wynagrodzenia.

W praktyce pomocne są następujące zasady:

• jeżeli wnioskodawca pyta o łączne wydatki na wynagrodzenia, zwykle można udostępnić dane zbiorcze;
• jeżeli pyta o wynagrodzenie osoby pełniącej funkcję publiczną, trzeba ocenić związek informacji z pełnieniem funkcji;
• jeżeli pyta o pracownika niepełniącego funkcji publicznej, trzeba zastosować art. 5 ust. 2 ustawy o dostępie do informacji publicznej;
• jeżeli stanowisko jest jednoosobowe, należy rozważyć anonimizację, uogólnienie danych albo odmowę w drodze decyzji;
• nie należy ujawniać danych o potrąceniach, świadczeniach socjalnych, chorobie, sytuacji rodzinnej lub innych elementach szczególnie wrażliwych prywatnościowo.

FAQ

Czy wynagrodzenie pracownika MOPS zawsze jest informacją publiczną?

Informacja o wydatkach jednostki na wynagrodzenia co do zasady dotyczy spraw publicznych w rozumieniu art. 1 ust. 1 ustawy o dostępie do informacji publicznej. Nie zawsze oznacza to jednak prawo do poznania wynagrodzenia konkretnego pracownika, ponieważ art. 5 ust. 2 tej ustawy chroni prywatność osób fizycznych.

Czy podanie samego stanowiska bez nazwiska może naruszać RODO?

Tak, jeżeli w konkretnych okolicznościach stanowisko pozwala zidentyfikować osobę. Zgodnie z art. 4 pkt 1 RODO dane osobowe to także informacje dotyczące osoby możliwej do zidentyfikowania pośrednio, a nie tylko po imieniu i nazwisku.

Czy jednostka musi zgłosić naruszenie do Prezesa UODO?

Musi to zrobić, jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych. Art. 33 ust. 1 RODO przewiduje termin 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, aby naruszenie skutkowało takim ryzykiem.

Czy trzeba powiadomić pracownika o naruszeniu?

Tak, jeżeli naruszenie może powodować wysokie ryzyko naruszenia jego praw lub wolności. Wynika to z art. 34 ust. 1 RODO. W przypadku publikacji wynagrodzenia w lokalnym portalu administrator powinien szczególnie uważnie ocenić ryzyko społeczne, zawodowe i prywatnościowe.

Czy portal musi usunąć artykuł z wynagrodzeniem pracownika?

Nie zawsze. Pracownik może złożyć żądanie usunięcia danych na podstawie art. 17 ust. 1 RODO, ale portal może powołać się na art. 17 ust. 3 lit. a RODO, jeżeli przetwarzanie jest niezbędne do korzystania z wolności wypowiedzi i informacji. Ocena zależy od treści publikacji, interesu publicznego i zakresu ujawnionych danych.

Czy odmowa udostępnienia wynagrodzenia wymaga decyzji?

Tak. Jeżeli organ odmawia udostępnienia informacji publicznej ze względu na prywatność osoby fizycznej, powinien wydać decyzję administracyjną na podstawie art. 16 ust. 1 ustawy o dostępie do informacji publicznej.

Źródła

• art. 61 ust. 1 i 2 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r.;
• art. 1 ust. 1, art. 5 ust. 2 i art. 16 ust. 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej;
• art. 33 ust. 1 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych;
• art. 4 pkt 1, art. 4 pkt 11, art. 4 pkt 12, art. 5 ust. 1 lit. a i c, art. 6 ust. 1 lit. c i e, art. 17 ust. 1, art. 17 ust. 3 lit. a, art. 19, art. 33 ust. 1, 3 i 5, art. 34 ust. 1 i 2 oraz art. 85 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.;
• art. 1 i art. 31a ust. 1 ustawy z dnia 26 stycznia 1984 r. Prawo prasowe;
• art. 23 i art. 24 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny;
• wyrok Trybunału Konstytucyjnego z dnia 20 marca 2006 r., sygn. K 17/05;
• wyrok Naczelnego Sądu Administracyjnego z dnia 18 lutego 2015 r., sygn. I OSK 796/14;
• wyrok Wojewódzkiego Sądu Administracyjnego w Rzeszowie z dnia 20 stycznia 2016 r., sygn. II SA/Rz 1618/15;
• wyrok Wojewódzkiego Sądu Administracyjnego w Rzeszowie z dnia 9 maja 2014 r., sygn. II SA/Rz 248/14.