W praktyce samorządów często pojawia się sytuacja, w której gmina dzierżawi infrastrukturę wodociągową podmiotowi zewnętrznemu, który następnie odpowiada za jej eksploatację. W takiej sytuacji trzeba rozstrzygnąć, czy przekazując dane mieszkańców – potencjalnych odbiorców usług – gmina powinna zawrzeć z tym przedsiębiorstwem umowę powierzenia przetwarzania danych osobowych. To pytanie nie jest jedynie teoretyczne – od poprawnej odpowiedzi zależy uniknięcie naruszenia przepisów RODO i potencjalnych kar.
Kto jest administratorem danych w przypadku dzierżawy sieci wodociągowej?
Zgodnie z art. 4 pkt 7 RODO administratorem danych jest ten podmiot, który ustala cele i sposoby przetwarzania danych osobowych. W przypadku przedsiębiorstw wodociągowo-kanalizacyjnych podstawę działania stanowi ustawa z dnia 7 czerwca 2001 r. o zbiorowym zaopatrzeniu w wodę i zbiorowym odprowadzaniu ścieków.
Jeżeli wójt, burmistrz lub prezydent miasta wyda decyzję administracyjną, na mocy której przedsiębiorstwo zewnętrzne otrzyma zezwolenie na prowadzenie działalności w zakresie zbiorowego zaopatrzenia w wodę i odprowadzania ścieków, to staje się ono odrębnym administratorem danych osobowych – w odniesieniu do danych pozyskanych w celu realizacji obowiązków ustawowych.
Przykład:
Gmina Zielone Łąki wydzierżawiła swoją sieć wodociągową spółce AquaTech sp. z o.o. Na mocy decyzji burmistrza spółka uzyskała zezwolenie na prowadzenie działalności w zakresie zaopatrzenia w wodę. W tej sytuacji AquaTech jest administratorem danych klientów, z którymi zawiera umowy na dostarczanie wody. Gmina nie ma prawa przekazywać jej pełnej bazy danych mieszkańców do tego celu – spółka powinna pozyskiwać dane samodzielnie od osób, które zdecydują się zawrzeć z nią umowę.
Dlaczego gmina nie może swobodnie przekazać bazy mieszkańców?
RODO wyraźnie wskazuje, że przekazywanie danych osobowych innemu administratorowi wymaga odpowiedniej podstawy prawnej. Jeżeli gmina nie jest stroną umowy o świadczenie usług wodociągowych, a jedynie przekazuje infrastrukturę w dzierżawę, to przekazanie danych mieszkańców do zawarcia umów przez przedsiębiorstwo nie jest uzasadnione bezpośrednio jej zadaniami własnymi.
Najlepszym rozwiązaniem jest, aby gmina:
- sama poinformowała mieszkańców o nowym dostawcy,
- wskazała dane kontaktowe przedsiębiorstwa (np. na stronie internetowej, w BIP, na tablicach ogłoszeń),
- pozostawiła decyzję o kontakcie po stronie mieszkańców.
Przykład:
W gminie Nowe Brzeziny po podpisaniu umowy dzierżawy sieci wodociągowej z firmą Wod-Kan Serwis gmina wysłała list do właścicieli nieruchomości z informacją o nowym dostawcy. Dołączono dane kontaktowe przedsiębiorstwa oraz informację, że umowę można zawrzeć bezpośrednio w biurze obsługi klienta. W ten sposób nie doszło do przekazania pełnej bazy danych mieszkańców, a każdy samodzielnie zdecydował, czy chce skorzystać z oferty.
Kiedy potrzebna jest umowa powierzenia danych?
Jeżeli jednak gmina zleca przedsiębiorstwu konkretne działania w swoim imieniu, np. prowadzenie akcji informacyjnej o zawieraniu umów, przesyłanie formularzy czy cenników, wówczas mamy do czynienia z przetwarzaniem danych w imieniu administratora. W takim przypadku – zgodnie z art. 28 RODO – konieczne jest zawarcie umowy powierzenia przetwarzania danych osobowych.
Umowa powierzenia powinna zawierać m.in.:
- zakres przekazanych danych – zazwyczaj ograniczony do danych teleadresowych,
- cel i czas przetwarzania – np. wysłanie jednorazowej korespondencji w terminie 30 dni,
- wymogi dotyczące zabezpieczenia danych,
- zasady usunięcia lub zwrotu danych po wykonaniu usługi.
Podsumowanie
- Jeżeli przedsiębiorstwo posiada własne zezwolenie i działa jako odrębny administrator danych – gmina nie przekazuje mu bazy danych mieszkańców.
- Gmina może poinformować mieszkańców o nowym dostawcy innymi kanałami (list, ogłoszenie, strona internetowa).
- Umowa powierzenia jest potrzebna tylko wtedy, gdy przedsiębiorstwo działa w imieniu gminy i na jej zlecenie przetwarza dane mieszkańców.
Podstawa prawna
- art. 4 pkt 7, art. 28 – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO)
- art. 16 – Ustawa z dnia 7 czerwca 2001 r. o zbiorowym zaopatrzeniu w wodę i zbiorowym odprowadzaniu ścieków
Tematy porad zawartych w poradniku
- RODO a umowy dzierżawy sieci wodociągowej
- administrator danych w wodociągach
- przekazywanie danych mieszkańców gmina przedsiębiorstwo
- umowa powierzenia danych kontaktowych
- ochrona danych w sektorze komunalnym
Przydatne linki do urzędowych stron: