Kilka dni temu na stronie RCL-u zaprezentowany został projekt ustawy (datowany na dzień 21 sierpnia 2020 roku) o otwartych danych i ponownym wykorzystywaniu informacji sektora publicznego (zwany dalej projektem) publikowany pod adresem:
Jak podnosi się w jego uzasadnieniu, celem przedmiotowej regulacji jest: „zwiększenie podaży otwartych danych i stworzenie optymalnego otoczenia regulacyjnego dla efektywnego wykorzystywania informacji sektora publicznego”, przy jednoczesnym podkreśleniu, iż konieczność uchwalenia nowej ustawy wynika z obowiązku implementacji przez RP jako państwa członkowskiego UE (do dnia 17 lipca 2021 r.) dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1024 z dnia 20 czerwca 2019 r. w sprawie otwartych danych i ponownego wykorzystywania informacji sektora publicznego (Dz. Urz. UE L 172 z dnia 26.06.2019 r.).
Zaproponowane w projekcie rozwiązania zasadniczo kopiują dotychczasowe przepisy ustawy o ponownym wykorzystywaniu informacji sektora publicznego uzupełniając je przede wszystkim o kwestie definiowania zasad otwartości danych (jak i samej identyfikacji danych oraz konkretnych rozwiązań instytucjonalnych). Pomijając w dniu dzisiejszym analizę całości zaproponowanych rozwiązań, ciekawe wydaje się być odniesienie do wskazanej przez projektodawcę definicji anonimizacji. Przyjęto bowiem, że jest to „proces zmiany informacji sektora publicznego lub danych prywatnych w informacje anonimowe, które nie odnoszą się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej, lub dane osobowe zanonimizowane w taki sposób, że identyfikacja osoby, której dane dotyczą, nie jest możliwa” (art. 2 pkt 1 analogicznie do postanowień art. 2 pkt 7 dyrektywy 2019/1024/UE). Proces i skutek anonimizacji wiąże się nie tylko z możliwością ustalania i pobierania przez podmiot zobowiązany sumy kosztów związanych z koniecznością podjęcia przedmiotowych czynności (czyli tych wszystkich, które prowadzą do anonimizacji danych osobowych), ale ponadto: ze środkami zastosowanymi w celu ochrony tajemnicy przedsiębiorstwa (art. 18 ust. 3 projektu). Jednocześnie istotne staje się podkreślenie, że tak udostępniane dane nie są danymi kompletnymi, tzn. nie są to dane udostępniane w całości, bez wyłączania poszczególnych ich części składowych, czyli danych zgodnych ze stanem faktycznym.
W uzasadnieniu projektu wskazuje się, iż zobowiązany w takim przypadku (ochrony konkretnej osoby/osób przed identyfikacją, a także innych tajemnic) będzie uprawniony do wyłączenia udostępnienia niektórych informacji (bądź ich fragmentów). W następstwie wprowadzenia takich ograniczeń (wyłączeń) na zobowiązanym będzie spoczywał obowiązek poinformowania występującego o przyczynach przedmiotowego wyłączenia (s. 42 projektu).
Można odnieść wrażenie, że przedmiotowy element, jakim jest poinformowanie o przekazywaniu danych niekompletnych nie jest do końca skorelowany z treścią art. 40 projektu, bo trudno w nim odszukać odpowiedniego umocowania zobowiązanego do tego rodzaju działania, czyli udostępnienia informacji sektora publicznego z uwzględnieniem ewentualnych włączeń, w tym tych, które dotyczą anonimizacji danych osobowych (szerzej: ochrony prywatności), czy też informacji objętych ochroną tajemnicy przedsiębiorstwa, jak równie innych tajemnic ustawowych.
Nie budzi wątpliwości, że ochrona prywatności w ramach procedury udostępniania przez zobowiązanego informacji publicznej i informacji sektora publicznego w istocie powinna przybierać różną postać w zależności od treści żądania i odpowiadającemu zakresowi udostępnienia informacji (dokumentów, jak i tego kogo – osoby fizycznej, czy osoby pełniącej funkcję publiczną żądanie dotyczy). Co do zasady ochrona prywatności od początku stosowania ustawy o dostępie do informacji publicznej (01.01.2002 r.) charakteryzowała się dążeniem do poddawania anonimizacji konkretnych dokumentów, co było i jest równoznaczne z eliminacją danych osobowych (obejmujących szeroką gamę identyfikatorów, które nie można utożsamiać wyłącznie z imieniem, nazwiskiem czy miejscem zamieszkania), pozwalających zidentyfikować konkretną osobę fizyczną. Tego rodzaju działanie postrzega się modelowo jako pozbawienie dokumentu cech indywidualizujących, a tym samym identyfikujących konkretną osobę fizyczną, w sposób, który mógłby stanowić naruszenie jej prywatności (w szerszym ujęciu: wolności i praw tej osoby).
W dotychczasowej praktyce dokonanie przez zobowiązanego anonimizacji treści dokumentu (co jest klasycznym rozwiązaniem w zakresie publikacji orzeczeń sądowych, tak przez Sąd Najwyższy, sądy powszechne i administracyjne) traktuje się zasadniczo jako działanie automatyczne i czysto techniczne (jednym z wyjątków jest stanowisko sądu zawarte w wyroku NSA z 9 sierpnia 2011 r., OSK 792/11), zmierzające do udostępnienia informacji publicznej i sektora publicznego zawartej w treści konkretnego dokumentu (zbioru dokumentów) z zagwarantowaniem poszanowania prywatności osób, których dane bądź szczegółowe informacje na ich temat zostały w nim ujęte. Takie działanie zobowiązanego nie jest co do zasady identyfikowane ani z przetworzeniem informacji publicznej, ani z udostępnieniem innej niż żądania informacja publiczna, czy informacja sektora publicznego (choć oczywiście budziło to wątpliwości i to nie tylko w odniesieniu do informacji publicznej, ale również informacji sektora publicznego, szczególnie z punktu widzenia dyspozycji zawartych w art. 10 ust. 3 projektu).
Zakładając, że anonimizacja dotyczy wyłącznie klasycznych danych osobowych wnioskodawca i tak otrzymuje ograniczoną treść dokumentu, której zakres może jednak potencjalnie ocenić merytorycznie ze względu na prosty sposób identyfikacji obszaru wykreśleń. Z racjonalnego punktu widzenia prowadzenia procesu udostępnienia rozwiązanie takie jest najlepsze zarówno dla zobowiązanego, jak i dla wnioskodawcy. Dla zobowiązanego z tego oczywistego powodu, że udostępniając informację publiczną i informację sektora publicznego nie musi wydawać decyzji o odmowie w zakresie dokonanych ograniczeń, dla wnioskodawcy zaś z powodu szybkiego otrzymania żądanej informacji (zasobu). Z formalnego punktu widzenia żądanie wnioskodawcy dotyczy jednak najczęściej udostępnienia konkretnego dokumentu. W sytuacji, w której żądający chce uzyskać treść dokumentu a nie informację z dokumentu, udostępnienie ksero dokumentu podlegającego aninimizacji nie spełnia zadość żądaniu sformułowanemu we wniosku, chyba że wnioskodawca sam godzi się na takie rozwiązanie. Z tego też powodu – tak przynajmniej należy sądzić – pojawiły się przykłady rozstrzygnięć, w których sformułowany został postulat identyfikacji z informacją publiczną (a jeszcze bardziej zasadnie ze względu na różnice w sposobie definiowania informacji publicznej i informacji sektora publicznego) wszystkich elementów składowych konkretnego dokumentu (np. danych osób pełniących funkcje publiczne, a nawet osób prywatnych, z którymi zawarte zostały umowy finansowane ze środków publicznych itd.). W konsekwencji zaś takiego stanowiska – w przypadku ograniczenia treści udostępnianego dokumentu, choćby przez jego anonimizację – konieczne staje się obok udostępnienia wydanie decyzji odmownej w zakresie dokonanych ograniczeń.
Jeszcze bardziej zasadne jest tego rodzaju rozwiązanie w sytuacji, w której żądający otrzymuje dokument którego treść poddana zostaje „anonimizacji” w zakresie szerszym, tzn. dotyczącym informacji objętych tajemnicami (w tym tajemnicą przedsiębiorstwa). Zadaniem podstawowym staje się więc udzielenie odpowiedzi na pytanie – szczególnie z punktu widzenia dotychczasowego orzecznictwa sądów administracyjnych zwracających uwagę na konieczność wydawania decyzji o odmowie udostępnienia informacji publicznych również w przypadku anonimizacji danych osobowych – czy nie warto byłoby jednoznacznie rozstrzygnąć kwestii zastąpienia decyzji czynnością materialną-techniczną, jaką byłoby pismo informacyjne zobowiązanego w przepisach projektowanej ustawy z jednoczesnym sprecyzowaniem w słowniczku (art. 2) rozumienia konieczności podjęcia przez niego – tu w rozumieniu przepisów ustawy o ponownym wykorzystywaniu informacji sektora publicznego – „nieproporcjonalnych działań przekraczających proste czynności”. W dniu dzisiejszym, biorąc pod uwagę dotychczasowe orzecznictwo, zasadnie przypuszczać można, że niezależnie od zakresu działań, które zobowiązany faktycznie będzie musiał podjąć nie będzie można ich identyfikować z przetworzeniem informacji w rozumieniu postanowień zawartych w art. 10 ust. 3 przedstawionego projektu. Z drugiej strony działania zobowiązanego przybierające postać jedynie częściowego udostępnienia żądanego zasobu (tzn. przy uwzględnieniu konieczności zapewnienia należnej ochrony) będą musiały wiązać się w wydaniem przez niego decyzji o odmowie udostępnienia przedmiotowych informacji, a nie jedynie poinformowaniem o tym fakcie.
Mariusz Jabłoński
