Dziennikarze, którzy chcą otrzymywać komunikaty o pracach Rady Ministrów, muszą ujawnić swój PESEL. Prawnicy nie mają wątpliwości, że to naruszenie przepisów RODO
Jeszcze do niedawna każdy zainteresowany mógł dostawać na wskazany adres e-mail informacje o pracach rządu (np. projektach przyjętych przez Radę Ministrów), zapowiedziach wydarzeń czy konferencji prasowych. Teraz, żeby otrzymywać te komunikaty, musi zarejestrować się w Press Roomie - systemie obsługi mediów administracji RP. „Jeśli jesteś dziennikarzem, załóż konto. Przeglądaj wydarzenia i weź udział w tych, które cię najbardziej interesują. Osoby zarejestrowane w systemie otrzymują komunikaty bezpośrednio na swoje skrzynki mailowe oraz w formie SMS (każda osoba, może wybrać dogodny dla siebie sposób)” - zachęca Kancelaria Prezesa Rady Ministrów.
Jest jeden haczyk - aby założyć konto trzeba koniecznie podać swój numer PESEL. Bez tego system nie pozwoli na dokończenie rejestracji. A wówczas dziennikarz nie otrzyma już komunikatów od rządu. W praktyce jest więc zmuszany do tego, by ujawnić swój PESEL.
Pomieszanie celów
Po co KPRM numery PESEL dziennikarzy? Centrum Informacyjne Rządu tłumaczy to dostosowaniem do systemu akredytacji dziennikarzy, gdzie numer ten jest wymagany od 2014 r. „Przetwarzanie wszystkich danych, w tym numeru PESEL, jest niezbędne do zapewnienia dziennikarzom dostępu do wydarzeń medialnych organizowanych przez podmioty administracji rządowej. Również wydarzeń odbywających się na terenie KPRM. Podanie danych osobowych przy rejestracji w systemie jest dobrowolne, ale ze względów bezpieczeństwa niezbędne do akredytowania dziennikarzy na wydarzenia z udziałem Prezesa Rady Ministrów” - odpowiedziało na pytania DGP.
Pytanie jednak, dlaczego system umożliwiający otrzymywanie komunikatów o pracach rządu ma mieć te same wymagania, co system akredytacji? Nawet jeśli przyjmiemy, że przy tym ostatnim wymaganie numeru PESEL jest uzasadnione, to przy wysyłce zwykłego newslettera już na pewno nie. Zdecydowana większość polskich dziennikarzy nigdy nie będzie na jakiejkolwiek konferencji w KPRM, za to jak najbardziej jest zainteresowana otrzymywaniem informacji o pracach rządu. Oczywiste wydaje się więc, że inne powinny być wymagania w zależności od wyboru opcji.
Tak też uważają zapytani przez nas prawnicy. Zwracają uwagę, że Press Room wskazuje różne cele przetwarzania danych - osobno akredytacje i osobno wysyłanie komunikatów prasowych.
- Niestety widzę tu pomieszanie celów i zakresów przetwarzania danych. Bo o ile zgodzę się co do tego, że weryfikacja tożsamości dziennikarza może być konieczna przed wejściem na spotkanie z najważniejszymi osobami w państwie (przypomnę, odbywa się to przez okazanie dokumentu tożsamości), o tyle takie dane jak PESEL, i do tego przetwarzane stale, nie są w żaden sposób niezbędne do wysyłania news lettera. A tymczasem pełen zakres danych, w tym imię, nazwisko, PESEL, a w przypadku obcokrajowców także numer paszportu i obywatelstwo przetwarza się we wszystkich tych celach - mówi dr Paweł Litwiński, adwokat z kancelarii Barta Litwiński. Jak dodaje, nie można równać w górę i przetwarzać maksymalnego zakresu danych, być może niezbędnego dla jednego z celów, także przy innych celach, dla których wystarczyłby ograniczony zakres danych.
- Te cele i zakresy trzeba rozdzielić, a tutaj tego nie zrobiono. W efekcie gromadzi się dane niepotrzebne, niejako na zapas - dodaje ekspert.
Wykaz dziennikarzy
RODO narzuca kilka podstawowych zasad przetwarzania danych, o których spełnieniu w przypadku Press Roomu nie może być mowy (patrz: infografika).
- Nie widzę jakiekolwiek racjonalnego powodu, który przemawiałby za wymaganiem podania numeru PESEL, tylko po to, by zapisać się do rządowego newslettera. Taki wymóg łamie co najmniej dwie zasady: legalizmu i minimalizacji danych. Legalizmu, bo nie ma żadnego szczególnego przepisu, który obligowałby dziennikarza do ujawniania swojego numeru PESEL, a każdy organ państwa nie może bez takiej ustawowej podstawy wymagać podania danych osobowych. Minimalizacji, bo można wymagać tylko danych, które są rzeczywiście niezbędne do realizacji celu, czyli w tym przypadku wysyłania oficjalnych komunikatów rządowych - komentuje prof. Grzegorz Sibiga z Instytutu Nauk Prawnych PAN.
KPRM tłumaczy, że nie zmusza nikogo do korzystania z systemu obsługi mediów, a wszystkie informacje przez niego wysyłane na adresy e-mail są również ogólnodostępne na stronie internetowej premiera czy w mediach społecznościowych. Tyle że to w żaden sposób nie wpływa na ocenę pod kątem przestrzegania przepisów RODO. Nie ma znaczenia, czy dziennikarze mają alternatywę, przy której nie muszą podawać żadnych danych. Jeśli już stworzono taką bazę, to powinna ona respektować wszystkie zasady ochrony danych osobowych. Tym bardziej że otrzymywanie informacji wprost na skrzynkę e-mail jest wygodniejsze oraz szybsze.
- Nie wiem, po co KPRM potrzebny jest numer PESEL, ale nietrudno zauważyć, że w ten sposób stworzy się wykaz PESEL-i dziennikarzy, którzy zainteresowani są komunikacją z rządem. Taki wykaz nie znajduje żadnej podstawy prawnej w obowiązujących przepisach, a przecież PESEL pełni określoną funkcję, ponieważ to swoisty klucz do dalszych danych w rejestrach publicznych znajdujących się również w administracji rządowej. Takie wykorzystanie numerów naruszałoby kolejną zasadę - ograniczenia celu, ale już samo zebranie PESEL-i jest niedopuszczalne i otwiera spekulacje co do ich dalszego przetwarzania - zaznacza prof. Grzegorz Sibiga.
Administracja może mieć problem, gdyby dziennikarze zaskarżyli zasady przetwarzania ich danych do prezesa Urzędu Ochrony Danych Osobowych, a ten uwzględniłby ich zarzuty. Wówczas bowiem rozdzielenie bazy na dwie odrębne - jedną związaną z akredytacjami, a drugą z samymi komunikatami - może się okazać niemożliwe. To zaś oznaczałoby konieczność wykasowania wszystkich danych i zbierania ich na nowo. ©℗
