Prezydent Wejherowa naruszył przepisy RODO, przekazując przedsiębiorcy wniosek mieszkańca o dostęp do informacji publicznej bez anonimizacji danych osobowych. Jak wskazał Prezes UODO burmistrz błędnie potraktował dwa odrębne wnioski o informację publiczną jako jedno postępowanie administracyjne, co doprowadziło do bezprawnego ujawnienia danych.
Urząd Ochrony Danych Osobowych rozpatrzył skargę mieszkańca Wejherowa dotyczącą sposobu przetwarzania jego danych osobowych przez prezydenta miasta. Sprawa miała związek z wnioskiem o dostęp do informacji publicznej dotyczącym umów zawartych przez samorząd z jedną z firm oraz udostępnienia skanów faktur.
Mieszkaniec, który wystąpił z takim wnioskiem, otrzymał odpowiedź z urzędu wraz z informacją, że korespondencja została przesłana również do przedsiębiorstwa, którego dotyczyły pytania. W konsekwencji firma uzyskała dostęp do jego danych osobowych.
Prezydent Wejherowa wyjaśniał, że właściciel firmy także zwrócił się do urzędu z wnioskiem o dostęp do informacji publicznej. Chciał ustalić, czy i komu urząd udostępniał informacje dotyczące umów z jego przedsiębiorstwem.
W ocenie prezydenta oba wnioski dotyczyły tej samej sprawy, dlatego uznał, że powinny być rozpatrywane łącznie na zasadach określonych w Kodeksie postępowania administracyjnego. Przyjął, że skoro sprawa dotyczy więcej niż jednego wnioskodawcy, to należy prowadzić jedno postępowanie.
Prezes UODO nie podzielił tego stanowiska. W wydanym rozstrzygnięciu przypomniał, że procedura udostępniania informacji publicznej nie jest postępowaniem administracyjnym w rozumieniu Kodeksu Postępowania Administracyjnego. Stanowi odrębną procedurę o charakterze informacyjnym, opartą na przepisach ustawy o dostępie do informacji publicznej.
Organ podkreślił również, że złożenie dwóch lub większej liczby wniosków o udostępnienie informacji publicznej, nawet jeśli dotyczą podobnego lub identycznego zakresu informacji, nie prowadzi do wszczęcia jednej wspólnej procedury. Każdy taki wniosek stanowi samodzielne żądanie, które powinno być rozpatrzone odrębnie.
UODO zwrócił uwagę, że na prezydencie miasta jako administratorze danych ciąży obowiązek przestrzegania zasad wynikających z RODO, w tym ograniczania przetwarzania danych osobowych do niezbędnego minimum.
Zdaniem Prezesa UODO błędna interpretacja przepisów doprowadziła do przekazania przedsiębiorcy danych osobowych mieszkańca bez wcześniejszej anonimizacji. W rezultacie doszło do udostępnienia danych bez podstawy prawnej, a tym samym do naruszenia zasady poufności określonej w RODO.
