Automatyczne przyznawanie świadczenia wychowawczego (tzw. 800+)

Przewidywane w projekcie ustawy o zmianie ustawy o pomocy państwa w wychowywaniu dzieci wprowadzenie mechanizmu automatycznego ustalania prawa do świadczenia wychowawczego (tzw. 800+) na kolejny okres bez konieczności ponownego składania wniosków budzi zastrzeżenia Prezesa UODO. Zostały one przedstawione w eksperckiej opinii przesłanej do resortu rodziny, pracy i polityki społecznej.

Projektowana ustawa została zamieszczona na portalu Rządowego Centrum Legislacji. Nie przesłano jej jednak, mimo takiego obowiązku, Prezesowi UODO do zaopiniowania. Dlatego organ nadzorczy dokonał jej analizy z urzędu. Wziął przy tym pod uwagę fakt, że rozwiązania ustanawiane projektowaną ustawą będą się wiązać z przetwarzaniem danych osobowych na dużą skalę, w tym z wykorzystaniem nowego modelu przetwarzania, tj. automatycznego podejmowania decyzji, co wywołuje wysokie ryzyko naruszenia praw i wolności osób fizycznych, których dane będą przetwarzane.

Brak testu prywatności

W tej sytuacji w ocenie Prezesa UODO niezbędne jest przeprowadzenie testu prywatności wraz z oceną skutków projektowanej regulacji dla ochrony danych (art. 35 ust. 10 w zw. z art. 25 ust. 1 RODO). Jeżeli bowiem przewidywany rodzaj przetwarzania ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, projektodawca powinien uwzględnić ochronę danych na jak najwcześniejszym etapie prac nad przepisami regulującymi ten proces. Ocena taka pozwala m.in. zbadać, czy projektowane przepisy, zgodnie z art. 6 ust. 3 RODO, są proporcjonalne i stanowią gwarancje odpowiednie do wyznaczonego, prawnie uzasadnionego celu przetwarzania danych osobowych, a także wypracować – już na etapie projektowania aktu prawnego – rozwiązania gwarancyjne dla podmiotów danych. Z treści projektowanych przepisów i uzasadnienia projektu nie wynika, aby taka ocena została przez projektodawcę przeprowadzona.

Niedookreślona ochrona praw osób przy zautomatyzowanym podejmowaniu decyzji

Wątpliwości Prezesa UODO wzbudziło również to, że zgodnie z projektowaną regulacją świadczenie wychowawcze na dziecko, o ile zostało przyznane we wcześniejszym okresie świadczeniowym, na kolejny okres ma być ustalane z urzędu. W przesłanej opinii organ nadzorczy podkreślił, że norma ta ma charakter blankietowy. Nie zawiera rozwiązań dotyczących procedur ani sposobów przetwarzania danych osobowych na potrzeby ustalania z urzędu prawa do świadczeń.

Zważywszy zaś na to, że (jak wyjaśniono w uzasadnieniu) rozwiązanie to wiąże się z „mechanizmem automatycznego odnawiania prawa do świadczenia na kolejne okresy świadczeniowe”, Prezes UODO zwrócił uwagę, iż nie wiadomo, jaki mechanizm będzie stosowany w celu ustalenia prawa do świadczeń na kolejny okres. O ile do wydania decyzji przez Zakład Ubezpieczeń Społecznych działający z urzędu miałoby dochodzić w sposób zautomatyzowany w rozumieniu art. 22 RODO, to taki sposób przetwarzania danych powinien wprost wynikać z przepisów prawa, a prawodawca powinien w ich treści przyjąć środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą.

Przepisy prawa powinny jednoznacznie określać, czy w związku z przetwarzaniem danych osobowych dokonywane będzie zautomatyzowane podejmowanie decyzji w indywidualnych sprawach, w tym profilowanie osób w rozumieniu art. 4 pkt 4 RODO.

RODO (art. 22) przyznaje bowiem każdej osobie fizycznej prawo do:

• niepodlegania decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu danych, w tym profilowaniu, które wywołują wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływają,
• interwencji ludzkiej – osądu przez człowieka na różnych etapach przetwarzania,
• bycia poinformowaną o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu,
• skorzystania z takich narzędzi, jak zakwestionowanie podjętej decyzji, nawet jeśli wcześniej nie wyraziła sprzeciwu do zautomatyzowanego podejmowania decyzji, uzyskując informacje o tym na podstawie art. 13 lub 14 RODO.

Prezes UODO podkreślił, że administratorzy rejestrów publicznych powinni stosować automatyczne przetwarzanie danych osobowych jedynie w wyjątkowych i zgodnych z prawem sytuacjach przy poszanowaniu interesów i praw osób, których dane dotyczą.

Problemy z przedłużaniem decyzji na kolejne okresy

Tymczasem projektowanymi przepisami prawodawca nie wskazał konkretnie, w jaki sposób co roku z urzędu miałoby być ustalane prawo do świadczeń wychowawczych na kolejny okres, jakie czynniki byłyby brane pod uwagę, czy działanie to wiązałoby się z weryfikacją informacji i danych osobowych, a jeśli tak, to z jakich źródeł te informacje miałyby być czerpane (systemów, rejestrów).

Aspekty te są tym bardziej istotne, że projektowana regulacja ma określać działania podmiotów publicznych (ewentualnie realizujących zadania publiczne). Zatem prawodawca powinien przyjąć regulację odpowiadającą konstytucyjnej zasadzie praworządności i przepisom RODO, w tym zasadzie zgodności z prawem, rzetelności i przejrzystości (art. 5 ust. 1 lit. a). Z kolei z art. 6 ust. 3 RODO należy wywodzić obowiązek wskazania w przepisach krajowych wszystkich celów i innych elementów niezbędnych dla kompleksowego uregulowania przetwarzania danych przez podmioty publiczne w celu realizacji ich ustawowych zadań w związku z automatycznym podejmowaniem decyzji w indywidualnych przypadkach.

Jako przykład regulacji zawierającej gwarancje ochrony praw i wolności osób fizycznych, wobec których ma zostać wydana decyzja oparta na zautomatyzowanym przetwarzaniu, w tym profilowaniu, Prezes UODO podał art. 105a ust. 1a Prawa bankowego dotyczący oceny zdolności kredytowej.

Brak uzasadnienia dla różnych okresów retencji danych

Organ nadzorczy zwrócił też uwagę, że projektowana regulacja przewiduje 10-letni okres przetwarzania danych osobowych zawartych we wnioskach i w załącznikach o przyznanie świadczenia wychowawczego, o ile przekazywane są do ZUS z wykorzystaniem systemu teleinformatycznego ministra właściwego do spraw rodziny. Tymczasem obecnie obowiązująca norma wskazuje, że wszystkie podmioty (banki krajowe, spółdzielcze kasy oszczędnościowo-kredytowe, w tym minister właściwy do spraw rodziny oraz podmiot udostępniający system teleinformatyczny) usuwają dane objęte treścią tych wniosków i załączników niezwłocznie po otrzymaniu informacji o potwierdzeniu złożenia wniosku przez Zakład Ubezpieczeń Społecznych.

W ocenie Prezesa UODO niejasne jest, dlaczego projektodawca przewiduje, że dane osobowe przekazywane z wykorzystaniem systemu teleinformatycznego ministra właściwego do spraw rodziny mają być przetwarzane przez kolejnych 10 lat. W przesłanej opinii zaznaczył, że nie kwestionuje wskazanej w uzasadnieniu do projektu ustawy potrzeby realizacji praw wnioskodawców (dostęp do złożonych wniosków). Wskazał jednak, że w projektowanych przepisach brak jest rzetelnego uzasadnienia dla tak przyjętego okresu przetwarzania danych osobowych.