TK o przetwarzaniu, w tym o profilowaniu danych osobowych

1. W  okresie od maja do czerwca 2018  r. Trybunał Konstytucyjny wydał siedem wyroków. Za niekonstytucyjne uznał przepisy ustawy o promocji zatrudnienia i instytucjach rynku pracy w  zakresie odnoszącym się do profilowania osób bezrobotnych (wyrok z 6 czerwca 2018 r., K 53/16 – niekonstytucyjność częściowa), rozporządzenia Ministra Gospodarki, Pracy i Polityki Społecznej w sprawie orzekania o niepełnosprawności i stopniu niepełnosprawności w odniesieniu do przepisów nakazujących ujawnienie symbolu choroby w  orzeczeniu o  niepełnosprawności (wyrok z 19 czerwca 2018 r., SK 19/17), a także przepisy rozporządzenia Ministra Sprawiedliwości w sprawie określenia stawek wynagrodzenia biegłych (wyrok z 28 czerwca 2018 r., SK 4/17).

Za zgodne z  Konstytucją uznano natomiast przepisy ustawy o bezpieczeństwie imprez masowych regulujące instytucję zakazu klubowego nakładanego przez organizatora imprez (wyrok z 18 czerwca 2018 r., K 47/14), dwukrotnie przepisy ustawy o spółdzielniach mieszkaniowych, a właściwie przepisy ją nowelizujące z 2007 i 2009 r. (wyrok z 19 czerwca 2018 r., SK 34/14 oraz z 20 czerwca 2018 r., SK 3/13) oraz ustawy o nauczycielskich świadczeniach kompensacyjnych w zakresie, w jakim nie uwzględniały wśród uprawnionych do nauczycielskiego świadczenia kompensacyjnego psychologów zatrudnionych w  poradniach psychologiczno-pedagogicznych (wyrok z 16 czerwca 2018 r., SK 32/17).

2. Na tle gorączki wywołanej wejściem w życie RODO w ramach tego przeglądu chciałbym przeanalizować dwa wyroki, w których TK dokonał wykładni konstytucyjnych wzorców odnoszących się do danych osobowych, jak i ocenił legalność aktów podustawowych regulujących profilowanie oraz ujawnianie danych o chorobie w orzeczeniu o niepełnosprawności.

Problem przetwarzania danych osób bezrobotnych był przedmiotem rozstrzygnięcia w sprawie K 53/16. W 2014 r. weszły w życie przepisy zmieniające ustawę o promocji zatrudnienia i instytucjach rynku pracy i  przewidujące trzy grupy różniących się zasadniczo form pomocy, przyporządkowywanych bezrobotnym w zależności od ich ustalonego profilu. Profilowanie następuje niezwłocznie po rejestracji bezrobotnego, z uwzględnieniem dwóch zmiennych – oddalenia bezrobotnego od rynku pracy i jego gotowości wejścia (lub powrotu) na rynek pracy. Szczegółowe zasady profilowania określa częściowo rozporządzenie wykonawcze do ustawy, a częściowo (w zakresie nieuregulowanym przepisami) także niejawne dokumenty – kwestionariusz do profilowania pomocy dla osób bezrobotnych funkcjonujący jako część stosowanego we wszystkich urzędach pracy programu komputerowego oraz podręcznik Profilowanie pomocy dla osób bezrobotnych. Oba te dokumenty zostały ujawnione dopiero w wyniku działania organizacji pozarządowych i wydanych na ich wniosek wyroków sądowych.

Profilowanie jest dokonywane przez system informatyczny. Punktacja obliczona w ten sposób nie jest wiążąca dla pracownika urzędu pracy, który może podjąć decyzję o ustaleniu innego profilu pomocy niż domyślny. Wymaga to jednak szczegółowego uzasadnienia, które jest wpisywane do dokumentacji.

Rzecznik Praw Obywatelskich podniósł dwa zarzuty odnośnie do tej regulacji. Po pierwsze, wskazał, że w jego ocenie od rezultatu profilowania winien przysługiwać podmiotowi danych środek zaskarżenia. Po drugie, zarzucił, że taka regulacja powinna zostać zawarta w ustawie, a nie w rozporządzeniu.

3. Odnosząc się do pierwszego z zarzutów, TK uznał, że profilowanie ma charakter złożony. Pierwsza faza polegająca na rejestracji bezrobotnego oraz na gromadzeniu informacji o jego zawodowej, osobistej i prawnej sytuacji jest czynnością materialno-techniczną. Druga faza, sprowadzająca się do przeliczenia tych danych na punkty i przydzielenia na ich podstawie jednego z trzech profili, polega już na istotnym przetworzeniu tych informacji i jest czynnością administracji sui generis. Ustalenie profilu nie następuje natomiast w drodze decyzji administracyjnej.

Trybunał Konstytucyjny dostrzegł, że przepisy nie formułują gwarancji proceduralnych dotyczących profilowania. Powołał jednak dwa wyroki WSA w Poznaniu, który przyjął, że zarzuty dotyczące czynności profilowania (jej przebiegu i wyników) mogą być podnoszone w ramach kontroli decyzji administracyjnych dotyczących bezrobotnych (odpowiednio – o pozbawieniu statusu bezrobotnego i o odmowie przyznania stypendium)Wyroki WSA w Poznaniu z 23 października 2015 r., II SA/Po 440/15 i z 29 września 2016 r., II SA/Po 395/16.. Podkreślił także, że stanowisko to podzielił w toku postępowania przed TK resort pracy, który konsekwentnie wskazywał, że organy administracji są także zobowiązane do rozpatrzenia wniosków o zmianę profilu składanych przez bezrobotnych.

4. Trybunał przyjął, że profilowanie nie jest „sprawą” w rozumieniu art. 45 ust. 1 Konstytucji. Nie jest też „orzeczeniem lub decyzją wydaną w pierwszej instancji” w rozumieniu art. 78 Konstytucji. Gromadzenie danych, wpisywanie ich do kwestionariusza, a także ich przetwarzanie oraz ustalanie w oparciu o nie profilu nie przesądza w sposób władczy o sytuacji prawnej danego podmiotu ani w relacji z  innymi równorzędnymi podmiotami, ani w relacji z władzą publiczną. Jest ono prawną formą działania administracji sui generis, polegającą na diagnozowaniu sytuacji bezrobotnego i wyborze pakietu najbardziej odpowiednich dla danej osoby form pomocy. Nie jest równoznaczne z ostatecznym władczym rozstrzyganiem o prawach lub obowiązkach jednostek, a tylko stwarza warunki do wydania takich rozstrzygnięć jako jedna z okoliczności branych pod uwagę przez urząd pracy.

Z tych powodów przepisy ustawy o promocji zatrudnienia w zakresie, w jakim nie przewidują odrębnego środka zaskarżenia czynności ustalenia dla bezrobotnego profilu pomocy, są zgodne z art. 45 ust. 1 i art. 78 Konstytucji.

5. Pogląd ten warto uzupełnić o kilka uwag na tle RODO. Akt ten wyróżnia profilowanie jako jedną z czynności przetwarzania danych oraz zawiera odmienną, bardziej restrykcyjną regulację dotyczącą wydawania decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu (profilowaniu). RODO wymaga, aby podmiot danych został poinformowany, że może podlegać takiemu procesowi. Ponadto w art. 22 zawiera regulację, w myśl której osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i  wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa. Z taką sytuacją niewątpliwie mamy do czynienia wobec osób bezrobotnych. Podlegają profilowaniu, decyzje wydawane w oparciu o ustalenie profilu mają charakter zautomatyzowany i wywierają skutki prawne wobec osób bezrobotnych.

RODO wyłącza zakaz twardego profilowania w przypadku, gdy takie przetwarzanie danych:

1. jest niezbędne do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem;
2. jest dozwolone prawem, które przewiduje właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów podmiotu danych; lub
3. opiera się na wyraźnej zgodzie osoby, której dane dotyczą.

W przypadku osób bezrobotnych mamy do czynienia z profilowaniem na podstawie prawa. Rozważyć zatem należy, czy prawo to spełnia wymogi jakości i przewiduje właściwe środki ochrony. W pkt 70 Preambuła RODO wymienia ich przykłady: informowanie osoby, której dane dotyczą, prawo do uzyskania interwencji człowieka, prawo do wyrażenia własnego stanowiska, prawo do uzyskania wyjaśnienia co do decyzji wynikłej z takiej oceny oraz prawo do zakwestionowania takiej decyzji.

W sytuacji gdy po wyroku TK ustawodawca będzie korygował regulację, powinien uwzględnić nie tylko orzeczenie trybunalskie, lecz również, na podstawie RODO, zapewnić, by podmiot danych albo mógł zaskarżyć decyzję opartą na profilowaniu, albo wprost wskazać, że zarzuty odnoszące się do wadliwego profilowania mogą być podnoszone w  toku postępowania odwoławczego od decyzji dotyczącej bezrobotnego. Taka wykładnia przepisu nie powinna być domniemana, lecz powinna wprost wynikać z przepisów ustawy.

5. Odnosząc się do drugiego zarzutu, Trybunał podkreślił, że art. 51 ust. 1 i 5 Konstytucji nie należy traktować jako powtórzenia ogólnych zasad z art. 31 ust. 3 i art. 92 ust. 1 Konstytucji. Przepisy te mają większy zakres szczegółowości i  przewidują wyższy poziom gwarancji, ponieważ wyraźnie wskazują obszary, w których zasada wyłączności ustawowej powinna być przestrzegana szczególnie rygorystycznie. W ustawie powinny więc być uregulowane następujące zagadnienia:

• zobowiązanie do ujawniania informacji o swojej osobie (składanie oświadczeń co do swojego statusu prawnego i faktycznego organom władzy publicznej, a w niektórych wypadkach – także podmiotom prywatnym); należy przyjąć, że w ustawie powinno się znaleźć co najmniej dokładne określenie podmiotów zobowiązanych, okoliczności powstania obowiązku ujawnienia informacji oraz zakresu tych informacji, a także zasad ich przechowywania, poprawiania, udostępniania i usuwania;
• „zasady” gromadzenia, przetwarzania i udostępniania informacji;
• „tryb” gromadzenia i udostępniania informacji.

Trybunał Konstytucyjny przyjął, że rygoryzm zasady wyłączności ustawy w odniesieniu do ograniczeń prawa do autonomii informacyjnej podlega gradacji. W największym stopniu zasada ta dotyczy zagadnień wymienionych w art. 51 ust. 1 i 5 Konstytucji. Tu normowanie za pomocą aktów wykonawczych jakichkolwiek kwestii merytorycznych jest niedopuszczalne, a ewentualne regulowanie w nich kwestii technicznych powinno być traktowane z dużą  dozą ostrożności. TK przyjął, że profilowanie niewątpliwie oznacza „gromadzenie informacji” o jednostkach w rozumieniu art. 51 ust. 1 i 5 Konstytucji. Z tego powodu w sferze tej powinna obowiązywać zasada wyłączności ustawowej w ustalonym wyżej rozumieniu – bezwzględnie w ustawie powinny znaleźć się kompletne regulacje dotyczące „zasad” i „trybu” przeprowadzenia profilowania, a pozostałe aspekty tej czynności mogą być dzielone między ustawę i rozporządzenie.

Tymczasem normowanie profilowania w ustawie o promocji zatrudnienia jest bardzo fragmentaryczne. Ustawa w żaden sposób nie reguluje zakresu danych zbieranych w trakcie profilowania (a więc „zasad” zbierania informacji w rozumieniu art. 51 ust. 5 Konstytucji) ani też reguł ich uzyskiwania, przetwarzania (przeliczania na punkty, których suma determinuje przypisanie do profilu, możliwości ręcznego ustalenia innego profilu niż przydzielony przez system), poprawiania czy udostępniania (a więc „trybu” zbierania informacji w rozumieniu art. 51 ust. 5 Konstytucji). Z tych względów regulacja ta została uznana za niezgodną z Konstytucją.

6. Z  kolei w  sprawie SK 19/17 skarżący konstytucyjnie zakwestionował przepisy rozporządzenia Ministra Gospodarki, Pracy i Polityki Społecznej z 15 lipca 2003 r. w sprawie orzekania o niepełnosprawności i stopniu niepełnosprawności. Zaskarżono przepisy w zakresie, w jakim przewidywały obligatoryjne zamieszczenie symbolu przyczyny niepełnosprawności, a w konsekwencji rodzaju choroby, w szczególności choroby psychicznej, jako przyczyny niepełnosprawności w orzeczeniu o stopniu niepełnosprawności.

Również w tej sprawie Trybunał uznał, że naruszono zasadę wyłączności ustawowej ingerencji w konstytucyjne prawo do prywatności i prawo do autonomii informacyjnej jednostki. Podstawą prawną ujawnienia symbolu przyczyny niepełnosprawności jest § 13 ust. 2 pkt 9 w związku z § 32 ust. 2 pkt 2 rozporządzenia z 2003 r., a więc przepis rangi podustawowej. Tymczasem ujawnianie i przetwarzanie danych osobowych, chronione na podstawie art.  47 i art. 51 Konstytucji, jest ograniczeniem korzystania z wolności i praw, a takie ograniczenie, zgodnie z art. 31 ust. 3 i art. 51 ust. 1 i 5 Konstytucji, może być ustanowione tylko w ustawie.