Biuletyn Informacji Publicznej RPO

IX.517.1567.2024

Wystąpienie do Dyrektora Generalnego Służby Więziennej w sprawie danych osobowych zamieszczonych na stronie internetowej jednostki.

Pracownicy Zespołu ds. Wykonywania Kar Biura Rzecznika Praw Obywatelskich przeprowadzili w dniach 24–26 września 2024 r. wizytację w Areszcie Śledczym w B., podczas której stwierdzili, że na ogólnodostępnej stronie internetowej tej jednostki, w zakładce „Dla interesantów”, są zamieszczone wezwania do podjęcia depozytu. Na podstronie Aresztu Śledczego w B., bezpośrednio pod informacjami przeznaczonymi dla bliskich osób pozbawionych wolności, znajdował się komunikat: „Uwaga!!! Wezwania do podjęcia depozytu dotyczące: (…)”. Wymieniono w nim dane osobowe 10 osób, które wcześniej odbywały karę pozbawienia wolności w tej jednostce. Widniały tam imiona, nazwiska oraz imiona ojców byłych osadzonych, a każde z wezwań stanowiło link do odpowiedniego skanu dokumentu. Dokumenty te zawierały z kolei dodatkowe dane osobowe, takie jak data i miejsce urodzenia, imiona rodziców, szczegółowy opis depozytów, ich rodzaj oraz wartość. Wszystkie wezwania były datowane na październik albo listopad 2019 r. Areszt Śledczy w B., nie mając możliwości doręczenia wezwania do odbioru depozytu lub ustalenia uprawnionego, był obowiązany dokonać wezwania przez jego wywieszenie na tablicy informacyjnej w swojej siedzibie na okres 6 miesięcy. Ustawodawca nie tylko nie upoważnił jednostek sektora finansów publicznych do samodzielnego decydowania o miejscu publikowania wezwań do podjęcia depozytu, ale także jednoznacznie wskazał, że dopiero określona szacowana wartość depozytu pozwala na wykonanie dodatkowych działań o szerszym zasięgu w celu umożliwienia odbioru depozytu. Tymczasem Areszt Śledczy w sposób nieuprawniony zamieścił wspomniane wezwania na swojej stronie internetowej, gdzie pozostawały one publicznie dostępne przez niemal 5 lat. Zastrzeżenia budzi również zakres danych osobowych, jaki przy tej okazji zostały ujawnione. Takie działanie nie miało podstawy prawnej i naruszało, zdaniem RPO, przepisy dotyczące ochrony danych osobowych, w szczególności przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE lub ustawy o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości. Zaistniałe naruszenie może skutkować ryzykiem naruszenia praw lub wolności osób fizycznych, a to oznacza, że administratorzy zobligowani są do zgłoszenia naruszenia krajowemu organowi nadzorczemu w tym obszarze, którym jest Prezes Urzędu Ochrony Danych Osobowych. Rzecznik Praw Obywatelskich zwrócił się do Dyrektora z prośbą o wyjaśnienie okoliczności, które doprowadziły do publikacji danych osobowych właścicieli depozytów na stronie internetowej Aresztu Śledczego w B. oraz o przekazanie informacji o podjętych działaniach naprawczych, w tym o ewentualnym zgłoszeniu naruszenia ochrony danych osobowych do Prezesa Urzędu Ochrony Danych Osobowych.