Jak ZGM chroni dane swoich mieszkańców?

Co prawda od 1997 roku obowiązuje w Polsce ustawa o ochronie danych osobowych, ale mało kto orientuje się co oznacza w praktyce, a jeszcze mniej rozumie przepisy w niej zawarte.Kto jak kto, ale jednostki administracji publicznej, w tym administracja samorządowa, powinny ustawę doskonale znać i wzorcowo jej przestrzegać. Niekoniecznie jednak w Częstochowie. – Przez cztery miesiące pracowałam w Zakładzie Gospodarki Mieszkaniowej w dziale administracyjnym. Miałam dostęp do danych osobowych wszystkich mieszkańców zasobów   ZGM-u. Co  z ochroną danych osobowych, co z przestrzeganiem prawa – pyta Marzena z Częstochowy.

Od kilku lat ZGM realizuje program pod nazwą „Praca za czynsz”. Osoby, które z różnych powodów doprowadziły do zadłużenia mieszkania, mogą odpracować swój dług. We wcześniejszym etapie projektu ZGM-u, dłużnicy byli najczęściej zatrudniani do pracy fizycznej, np. sprzątania budynków i terenów wokół bloku. 
– Od jakiegoś czasu osoby z długami są zatrudniane również w administracji ZGM. Nie byłam jednak etatowym pracownikiem, miałam tylko umowę zlecenie na czas określony. Zresztą nie tylko ja, bo takich osób było więcej. Mieliśmy dostęp do całej bazy danych wszystkich mieszkańców ZGM-u. A co najważniejsze: nie podpisywaliśmy żadnych dokumentów o zachowaniu tajemnicy zawodowej. Mogłabym te personalia wynieść, sprzedać, posłużyć się nimi w dowolny sposób. Wiem, kto gdzie mieszka, z kim i znam jego dane osobowe – opoiwada częstochowianka.

Redakcja „7 dni” zwróciła się do ZGM-u z prośbą o wyjaśnienie tych bulwersujących informacji.

„Informujemy, iż program „Praca za czynsz” jest w dalszym ciągu prowadzony. W jego ramach osoby zamieszkujące w zasobie lokalowych mogą odpracowywać długi czynszowe. Program ten chroni dłużników przed eksmisjami z lokali, pomaga wyjść im ze spirali zadłużenia, pozwala na aktywizację zawodową osób trwale bezrobotnych, a tym samym walkę z wykluczeniem społecznym i poczuciem nieprzydatności życiowej. W celu odpracowania nieuiszczonych należności istnieje możliwość wykonywania prac fizycznych (przykładowo prac porządkowych), jak również drobnych prac administracyjnych, polegających na udzielaniu pomocy pracownikom Spółki w bieżących pracach administracyjno-biurowych. W odniesieniu do kwestii stosowanych przez Spółkę procedur, mających na celu ochronę danych osobowych, zauważyć należy, że Spółka dokłada wszelkich starań, aby dane osobowe były przechowywane i przetwarzane w sposób zgodny z ustawą. W związku z czym Spółka wdrożyła Politykę Bezpieczeństwa Zakładu Gospodarki Mieszkaniowej „TBS” Sp. z o.o. z dnia 16.08.2013 r. oraz Instrukcję Zarządzania Systemem Informatycznym Zakładu Gospodarki Mieszkaniowej „TBS” Sp. z o.o. z dnia 16.08.2013 r.. Ponadto Spółka powołała Administratora Bezpieczeństwa, który na bieżąco czuwa nad bezpieczeństwem danych osobowych, udziela upoważnień do przetwarzania danych osobowych oraz kontroluje zakres i stan osobowy tych upoważnień. Spółka stosuje ponadto środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych, w tym m.in. system monitoringu, kontrolę wejścia do budynku, pobieranie i zdawanie kluczy do pomieszczeń, izolowanie obszarów przyjmowania gości. Powyższe procedury stosowane są również wobec osób, które mogą mieć styczność z danymi osobowymi w ramach programu „Praca za czynsz”.        
Sebastian Rozpondek”.

– ZGM może sobie mówić co chce, miałam dostęp do danych, które powinny być tajne. Gdyby trafili na kogoś nieuczciwego, to zapewne wiedziałby, w jaki sposób zarobić niezły pieniądz na tych informacjach – mówi pani Marzena.

O ocenę sytuacji w Częstochowie poprosiliśmy Generalnego Inspektora Ochrony Danych Osobowych.

„Należy wskazać, że stosownie do treści art. 37 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych (którym zgodnie z art. 7 pkt 4 ustawy o ochronie danych osobowych jest jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3, czyli organ państwowy, organ samorządu terytorialnego lub państwowe i komunalne jednostki organizacyjne, decydujące o celach i środkach przetwarzania danych osobowych). Jak podkreśla się w doktrynie, art. 37 ustanawia zakaz dopuszczania osób innych, niż mające upoważnienie nadane przez administratora danych do przetwarzania danych osobowych. Oznacza to, że do przetwarzania danych nie jest wystarczające upoważnienie wynikające ze stosunku prawnego łączącego daną osobę z administratorem danych, np. w związku z zawarciem umowy zlecenia czy też umowy o świadczenie usług, do której stosuje się odpowiednio przepisy o zleceniu. Możemy zatem wywnioskować, iż decyzję co do tego, kto zostanie dopuszczony do przetwarzania danych osobowych oraz jaki będzie zakres wspomnianego upoważnienia, ustawodawca pozostawił administratorowi danych. Administrator powinien jednak dla realizacji tego uprawnienia stosować zasady przewidziane w przepisach o ochronie danych osobowych, w szczególności określone w rozdziale 5 ustawy o ochronie danych osobowych. Upoważnienie powinno mieć charakter imienny, powinno też określać dozwolony zakres przetwarzania danych. Wydawane powinno być nie tylko osobom, które bezpośrednio zatrudnione zostały w celu prowadzenia przetwarzania danych, ale również innym osobom mogącym w takim przetwarzaniu uczestniczyć (kierownikom jednostek organizacyjnych, pracownikom działu kadr i działu płac itp.). W praktyce nadanie upoważnienia powinno być związane z podpisaniem przez osobę odbierającą upoważnienie oświadczenia o zapoznaniu się z przepisami dotyczącymi ochrony danych osobowych oraz o przyjęciu do wiadomości obowiązku zachowania tajemnicy. Ustawa nie reguluje kwestii kwalifikacji i innych wymagań w odniesieniu do osób zatrudnionych przy przetwarzaniu danych osobowych. Ustawodawca nie przesądza o treści upoważnienia, jak też o jego formie. Jednak względy dowodowe przemawiają za tym, aby upoważnienie do przetwarzania danych wydanego przez administratora miało formę pisemną. Warto także dodać, że zgodnie z art. 38 ustawy o ochronie danych osobowych, administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane. Administrator danych ma obowiązek prowadzenia ewidencji osób upoważnionych do przetwarzania danych, o której mowa w art. 39 ustawy o ochronie danych osobowych. Ewidencja ta powinna zawierać: imiona i nazwiska wszystkich osób upoważnionych przez administratora do wykorzystywania danych osobowych, daty nadania i ustania oraz zakres upoważnień do przetwarzania danych, a także identyfikatory tych osób, które dopuszczone zostały do przetwarzania danych w systemach informatycznych. Przepisy ustawy o ochronie danych osobowych nie przewidują wyjątków w kwestii udzielania upoważnień do przetwarzania danych osobowych, zatem również osoby, o których redakcja „7 dni” pisze powinny być objęte tym obowiązkiem. Art. 39 ust. 2 stanowi, że osoby, które zostały upoważnione do przetwarzania danych, są obowiązane zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia, co jest równoznaczne z zakazem ich ujawniania innym osobom, czy wykorzystywania w innym celu, niż wskazany w upoważnieniu. Naruszenie tego obowiązku może skutkować odpowiedzialnością karną przewidzianą w ustawie o ochronie danych osobowych (art. 51), jak również w kodeksie karnym. W świetle przepisu art. 266 § 1 kodeksu karnego, kto wbrew przepisom ustawy lub przyjętemu na siebie zobowiązaniu ujawnia lub wykorzystuje informację, z którą zapoznał się w związku z pełnioną funkcją, wykonywaną pracą, działalnością publiczną, społeczną, gospodarczą lub naukową, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. 
Małgorzata Kałużyńska-Jasak
GIODO”.

Ustawa o ochronie danych osobowych miała na celu przede wszystkim chronić osoby fizyczne, których dane osobowe są lub mogą być przetwarzane przez różne podmioty, instytucje, organizacje. Niekoniecznie jednak w Częstochowie.