Gmina zleca swoje zadania – kto jest ADO

Zadaniem gminy jest przyjmowanie wniosków i wydawanie Kart Dużej Rodziny. Wójt upoważnił do wykonywania tego zadania Gminny Ośrodek Pomocy Społecznej. GOPS przetwarza zbiór informacji zawierający dane osób składających wniosek i otrzymujących Karty Dużej Rodziny.

Tu pojawia się jednak problem z ustaleniem, kto jest administratorem danych osobowych w odniesieniu do tego zbioru. Czy będzie nim wójt – wydawanie kart jest przecież zadaniem gminy, czy Gminny Ośrodek Pomocy Społecznej – bo tam faktycznie dane osobowe są przetwarzane, zabezpieczane itp.?

Zgodnie z art. 21 ust. 2 ustawy z 5 grudnia 2014 r. o Karcie Dużej Rodziny (Dz.U. z 2014 r. poz. 1863 ze zm.) „administratorami danych osobowych przetwarzanych w zakresie niezbędnym do realizacji zadań wynikających z niniejszej ustawy są wójt oraz minister właściwy do spraw rodziny”.

W kontekście danych osobowych członków rodzin wielodzietnych, które wnioskują o Kartę Dużej Rodziny i którym Karta ta jest przyznawana, będziemy mieli zatem do czynienia z sytuacją, gdzie w odniesieniu do jednego zbioru danych występować będzie kilka podmiotów, które należy uznać za administratorów danych, tj. gminę oraz Ministerstwo Pracy i Polityki Społecznej (które są reprezentowane odpowiednio przez wójta oraz właściwego ministra).

Artykuł 9 powoływanej ustawy o Karcie Dużej Rodziny wskazuje, że wójt może upoważnić, w formie pisemnej, kierownika jednostki organizacyjnej gminy, a także inną osobę, która jest pracownikiem jednostki organizacyjnej gminy, do realizacji zadań z niej wynikających. Oznacza to, że Gminny Ośrodek Pomocy Społecznej (GOPS), jako podmiot realizujący zadania gminy, będzie przetwarzał dane osobowe w związku z przyznawaniem Karty Dużej Rodziny jako podmiot przetwarzający dane osobowe na zlecenie, tj. na podstawie umowy powierzenia przetwarzania danych osobowych.

W praktyce, w odniesieniu do danych osobowych przetwarzanych przez gminy oraz GOPS mogą występować sytuacje, w których określenie podmiotu będącego administratorem danych osobowych może przysparzać trudności. Brakuje jednolitego orzecznictwa. Brakuje unormowania „wprost” przez przepisy. Dlatego bywa, że praktyka jest… różna w różnych instytucjach.

Należy podkreślić, że nie będzie miał znaczenia przy określaniu administratora przedmiotowych danych osobowych brak fizycznej styczności gminy z danymi osobowymi od etapu ich zebrania aż do ewentualnego usunięcia danych. Bowiem, nawet jeżeli wszelkich czynności na danych osobowych dokonuje podmiot działający na zlecenie, administratorem danych osobowych pozostaje podmiot, który faktycznie decyduje o celach i środkach ich przetwarzania [zgodnie z definicją art. 7 pkt 4 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2014 r. poz. 1182 ze zm.)].