Joanna Pietrzak: Czy Poczta Polska jest gotowa na publiczną usługę hybrydową?

Prezes Urzędu Ochrony Danych Osobowych jest zaniepokojony skalą naruszeń ochrony danych osobowych związanych z gubieniem przesyłek nadanych przez administratorów danych. Dlatego zwrócił się do prezesa Poczty Polskiej z prośbą o podjęcie pilnych działań mających na celu wypracowanie rozwiązań w zakresie ograniczenia tego typu zdarzeń i wzmocnienie współpracy z nadawcami takiej korespondencji – czytamy na stronie www.uodo.gov.pl.

Prezes UODO zwrócił uwagę, że liczne przypadki utraty przesyłek lub doręczanie ich do niewłaściwych osób stanowią poważny problem dla administratorów danych. Muszą oni zgłaszać organowi nadzorczemu naruszenia ochrony danych osobowych z uwagi na to, że w przesyłkach są dane osobowe – w wielu przypadkach są to dane szczególnej kategorii.

Doręczenia hybrydowe. Co to takiego?

Brzmi niepokojąco, Poczta Polska gubi przesyłki, także te rejestrowane. Skala problemu jest trudna do zbagatelizowania, o czym świadczy m. in. wystąpienie prezesa UODO. Tymczasem ustawa z 18 grudnia 2020 r. o doręczeniach elektronicznych stawia przed operatorem publicznym nowe wyzwania. Usługa hybrydowa, bo o niej mowa, łączy komunikację elektroniczną z tradycyjnym doręczeniem. W uproszczeniu organ administracji nadaje korespondencję w formie elektronicznej, ta jest drukowana i kopertowana w jednej z placówek pocztowych na terytorium kraju (modelowo – w placówce pocztowej adresata), a następnie doręczana w tradycyjnej, papierowej formie odbiorcy wykluczonemu cyfrowo. Poczta Polska ma monopol na świadczenie usługi doręczenia hybrydowego.

Czytaj więcej

W sądzie i w urzędzie

Obowiązkowe e-Doręczenia jeszcze później. Ministerstwo podało nowy termin

Termin wdrożenia obowiązku stosowania e-Doręczeń zostanie przesunięty na 1 stycznia 2025 r. - poinformowało w piątek Ministerstwo Cyfryzacji.

Poczta i RODO. Jest dużo pytań o ochronę danych osobowych

Czy operator publiczny jest gotów sprostać nowym wyzwaniom? Czy dysponuje odpowiednim zapleczem technicznym niezbędnym do wydruku i kopertowania korespondencji nadanej w postaci elektronicznej? W jakim zakresie wdrożono środki techniczne i organizacyjne gwarantujące zachowanie tajemnicy pocztowej na każdym etapie zautomatyzowanego przekształcania dokumentu elektronicznego w tradycyjną przesyłkę listową? Czy Poczta Polska, borykająca się, a może raczej – bagatelizująca od lat problem zaginionych przesyłek, dysponuje wystarczającym potencjałem i kompetencjami w zakresie ochrony danych osobowych, aby gwarantować realizację usług doręczenia hybrydowego z poszanowaniem RODO? I wreszcie, kiedy prezes UODO dostrzeże możliwość, a nawet konieczność stosowania wobec Poczty Polskiej instrumentów dyscyplinujących przewidzianych w RODO?

Nie sposób nie dostrzec, że na swego rodzaju lekkość Poczty w podejściu do tematu ochrony danych osobowych mają wpływ dotychczasowe działania prezesa UODO, a właściwie ich brak. Organ przyznaje, że dotychczas kierowane do Poczty Polskiej zalecenia nie przyniosły oczekiwanych rezultatów. W latach 2019–2020 organ nadzorczy prowadził z Pocztą Polską korespondencję i wówczas operator pocztowy zobowiązał się m.in. do przeprowadzenia szkoleń pracowników z zakresu ochrony danych osobowych. Dziś prezes mówi „sprawdzam”, ale w dyskursie z Pocztą ponownie używa środków, o których nieefektywności przekonani są wszyscy, którzy z usług Poczty Polskiej są zmuszeni korzystać. Zalecenia, które organ nadzoru kieruje do operatora publicznego jako środek niewiążący prawnie, są de facto pozbawione znaczenia. Zwłaszcza wówczas, gdy w konsekwencji ich niewykonania organ nie sięga po dotkliwsze instrumenty.

W procesie doręczenia przesyłek zawierających dane osobowe Poczta Polska wypełnia definicję podmiotu przetwarzającego. Nadawca przesyłki jako administrator danych powierza poczcie dane zawarte w korespondencji w celu wykonania usługi doręczenia. Ostrzeżenia, upomnienia, prawo organu nadzorczego do nakazania określonego działania adresowane mogą być na podstawie art. 58 RODO w tym samym zakresie do administratora, jak i podmiotu przetwarzającego. Co więcej, prezes UODO ma prawo nałożyć na podmiot przetwarzający karę pieniężną za naruszenie przepisów RODO. Innymi słowy, w świetle RODO podmiot przetwarzający ponosi odrębną od administratora odpowiedzialność za przetwarzanie danych osobowych, a za naruszenia w tym zakresie może zostać surowo ukarany. Organ nadzorczy dysponuje zatem pełną paletą środków, od dyscyplinujących po represyjne, które może i powinien stosować wobec Poczty Polskiej.

Co więc stoi temu na przeszkodzie? Abstrahując od kontekstu politycznego, widać wyraźną niechęć urzędników UODO do stosowania definicji, a tym samym mechanizmów RODO w kontekście przetwarzania danych osobowych z udziałem Poczty Polskiej.

Dane w przesyłce. Co z bezpieczeństwem?

Zgodnie ze stanowiskiem UODO z lipca 2021 r. (w świetle niedawnego wystąpienia prezesa przyjąć należy, że pozostaje ono aktualne) Poczta Polska nie jest podmiotem przetwarzającym względem danych osobowych zawartych w przesyłce. „(…) Tylko nadawca posiada wiedzę o tym, jakie dane przekazywane są w przesyłce, a tym samym może ocenić, jakim ryzykiem dla praw i wolności osoby fizycznej skutkuje utrata przesyłki”. Podążając tym tokiem rozumowania, wiedza o charakterze danych determinuje uznanie podmiotu za procesora. Jeżeli tej wiedzy nie ma, nie jest podmiotem przetwarzającym. Nawet życzliwa polemika z prezentowanym stanowiskiem musi prowadzić do wniosku, że już samo nadanie przesyłki jako rejestrowanej (za dodatkową, niemałą opłatą) powinno być dla operatora sygnałem, że doręczając tego rodzaju korespondencję, należy zastosować wyższy niż przeciętny poziom staranności (także, a może przede wszystkim, w odniesieniu do bezpieczeństwa danych, które zawiera).

Status Poczty Polskiej wymyka się spod oceny urzędnikom UODO. Twierdzą, że jest ona administratorem danych zawartych na kopercie, ale co z danymi w kopercie? Przecież to o ich bezpieczeństwo chodzi.

Przyjmując (słusznie), że nadawca korespondencji pozostaje administratorem danych w niej zawartych, nie sposób nie dostrzec, że nie ma on żadnej kontroli nad procesem doręczenia. Nie ma tym samym wpływu na bezpieczeństwo danych zawartych w przesyłce będącej w doręczeniu. Kto w tym czasie pozostaje odpowiedzialny za ochronę przesyłanych danych? Jestem przekonana, że odpowiedź zna prezes UODO.