Przetwarzanie danych osobowych w procedurze budżetu obywatelskiego wymaga zmian

Prezes UODO Mirosław Wróblewski zabiega o uregulowanie sposobu przetwarzania danych osobowych na potrzeby przeprowadzania procedury tzw. budżetu obywatelskiego. W tej sprawie skierował wystąpienie do Ministra Spraw Wewnętrznych i Administracji.

Członkowie społeczności lokalnych są uprawnieni do wyrażenia swojej woli w zakresie wydatkowania części budżetu. Służy temu instytucja budżetu obywatelskiego. W takiej formie partycypacji społecznej dochodzi do przetwarzania danych osobowych nie tylko przez organy władzy publicznej, ale także przez samych obywateli. Poprzez zaangażowanie w proces zarządzania gminami, powiatami czy miastami, osoby fizyczne stają się inicjatorami procesów przetwarzania danych, począwszy od ich pozyskiwania, utrwalania i następnie po ich przekazywanie do organów samorządu terytorialnego na listach poparcia konkretnych projektów.

Prezesowi UODO sygnalizowane są trudności w stosowaniu przepisów o realizacji budżetów obywatelskich. Odnoszą się właśnie do przetwarzania danych osobowych. Wątpliwości zgłaszają zarówno podmioty obowiązane do prowadzenia konsultacji społecznych, jak i osoby, których dane dotyczą. Nie istnieją bowiem precyzyjne przepisy kompleksowo regulujące proces przetwarzania danych osobowych w ramach  procedury realizacji budżetu obywatelskiego.

W ustawach samorządowych należałoby doprecyzować zagadnienia:

• kto jest administratorem danych osobowych;
• jaki jest zakres przetwarzanych danych osobowych;
• weryfikacji statusu osoby uprawnionej do głosowania; 
• zabezpieczania danych osobowych.

Określenie statusu administratora

Ustawa o samorządzie gminnym (art. 5a ust. 7) wskazuje, że to rada gminy określa w drodze uchwały wymagania, jakie powinien spełniać projekt budżetu obywatelskiego. Przepis ten nie precyzuje jednak kryteriów przetwarzania danych osobowych, które taka uchwała powinna zawierać. W efekcie sposób przeprowadzenia głosowania podlega wyłącznie regulacji aktem prawa miejscowego.

Niezwykle ważne z perspektywy zapewnienia osobom, których dane dotyczą jest  przejrzyste ukształtowanie ról i związanej z tym odpowiedzialności za przetwarzanie danych osobowych. Jest to istotne na każdym etapie realizacji procesu uchwalania budżetu obywatelskiego. W tym celu należy zapewnić respektowanie zasad ochrony danych określonych w art. 5 RODO.

Zakres i sposób przetwarzania danych osobowych

Obecnie podmioty obowiązane do przeprowadzenia konsultacji społecznych mają pełną swobodę w doborze kryteriów przetwarzania danych osobowych, zakresu ich pozyskiwanych oraz sposobu i formy ich weryfikacji w celu realizacji przedmiotowego zadania.

W trakcie głosowań na projekty budżetu obywatelskiego od oddających głos żądane jest do podanie numeru PESEL - co wyklucza mieszkańców, którzy go nie posiadają np. cudzoziemców lub obywateli polskich urodzonych za granicą, którzy legitymują się jedynie paszportem. Pozyskiwanie i dalsze przetwarzanie numeru PESEL dla ściśle określonych celów powinno wynikać wprost z przepisów prawa. Niepewność prawna jest źródłem ryzyka nieuczestniczenia mieszkańców w debatach publicznych i wpływa negatywnie na budowanie ich zaufania do samorządów. W orzecznictwie sądowo-administracyjnym dominuje pogląd, że wymóg podawania numeru PESEL nie znajduje uzasadnienia prawnego.

Transformacja cyfrowa i bezpieczeństwo danych

Należy rozważyć wprowadzenie przepisów dotyczących elektronicznego głosowania gwarantujących bezpieczeństwo stosowania instytucji budżetu obywatelskiego.

Obecnie jednostki samorządu terytorialnego nie zawsze poczuwają się do ponoszenia odpowiedzialności za bezpieczeństwo danych przed przekazaniem list poparcia. Natomiast sami zbierający podpisy nie zawsze są świadomi odpowiedzialności za przetwarzane dane osobowe.

W kontekście cyberprzestępczości, szpiegostwa cyfrowego czy wykorzystywania danych osobowych do ataków na instytucje demokratyczne – w tym kradzieży danych indywidulanych - należy zwrócić uwagę na zapewnienie obywatelom odpowiednich narzędzi umożliwiających realne dysponowanie i zarządzanie swoimi danymi w sieci. Tymczasem brak jest regulacji w zakresie zgłaszania i popierania projektów budżetu obywatelskiego drogą elektroniczną.

Powyższe kwestie są coraz częściej poruszane w trakcie spotkań z Prezesem UODO, podczas konferencji i debat organizowanych przez Urząd Ochrony Danych Osobowych poświęconych ochronie danych osobowych w samorządzie terytorialnym.

Przetwarzanie danych osobowych z użyciem platform informatycznych

Uzasadnione jest określenie minimalnych kryteriów, które powinny spełniać platformy informatyczne dozwolone przez prawodawcę do procedowania głosowań w ramach budżetu obywatelskiego. Odbywać się to powinno z poszanowaniem przepisów RODO (m.in. w zakresie ryzyka związanego z przekazywaniem danych poza obszar EOG) oraz regulacji krajowych i europejskich obejmujących cyberbezpieczeństwo czy kwestie tożsamości cyfrowej (m.in. NIS2, eIDAS2).

Zastosowane rozwiązania powinny spełniać wymagania minimalizacji przetwarzania danych osobowych, zapewniać transparentność i weryfikowalność procesu głosowania – w tym jego audyt i weryfikację poprawności liczenia głosów.

DPNT.413.9.2026