Biuletyn Informacji Publicznej RPO

• Adresy ponad 300 osób objętych kwarantanną w powiecie gnieźnieńskim wyciekły do sieci
• Narusza to prawo do prywatności i  do ochrony danych osobowych tych osób -  może też zagrażać ich bezpieczeństwu
• Rzecznik Praw Obywatelskich podjął tę sprawę z urzędu

Media informują o wycieku do sieci adresów ponad 300 osób objętych kwarantanną w powiecie gnieźnieńskim. Prokuratura Okręgowa w Poznaniu wszczęła już postępowanie. Zawiadomienie o przestępstwie złożyła Dyrektor Powiatowej Stacji Sanitarno-Epidemiologicznej w Gnieźnie. Sprawę bada policja.

Rzecznik Praw Obywatelskich podjął sprawę z urzędu w związku z możliwością naruszenia konstytucyjnego prawa do prywatności i  prawa ochrony danych osobowych w odniesieniu do dużej grupy obywateli. Ujawnienie adresu ludzi objętych kwarantanną nie tylko jest niezgodne z prawem – może to też zagrażać ich bezpieczeństwu.

RPO spytał  Prezesa Urzędu Ochrony Danych Osobowych, jakie działania w tej sprawie podjął lub je planuje. Do Prokuratora Okręgowego w Poznaniu wystąpił zaś o informacje dotyczące wszczętego postępowania.

Odpowiedź PUODO (aktualizacja 16 listopada 2020)

Państwowy Powiatowy Inspektor Sanitarny w Gnieźnie zawiadomił Prezesa Urzędu Ochrony Danych Osobowych o publicznym ujawnieniu listy zawierającej adresy zamieszkania osób, które są na kwarantannie orzeczonej decyzją administracyjną PPIS w Gnieźnie oraz kwarantanną obowiązkową w związku z przekroczeniem granicy kraju, a także dane adresowe osób odbywających izolację domową w związku ze stwierdzonym zakażeniem koronawirusem SARS-CoV-2.

W toku przeprowadzonego postępowania spółka (...)  z o.o. z siedzibą w Gnieźnie, będąca jednym z kilku odbiorców danych osobowych ww. osób, wyjaśniła w szczególności, że otrzymywała „wykazy miejsc kwarantanny na terenie miasta oraz gminy Gniezno” z Komendy Powiatowej Policji w Gnieźnie. Wykazy te, zdaniem Spółki, obejmowały jedynie adresy administracyjne (policyjne), nie obejmowały imion, nazwiska i innych danych pozwalających zidentyfikować osobę fizyczną. Wykazy były przekazywane upoważnionym pracownikom, którzy mieli za zadanie zweryfikować, czy w danym okresie odpady mają być odbierane z miejsc, które widnieją na wyżej wskazanych wykazach.

W dniu 17 kwietnia 2020 r. wykaz taki został wydrukowany. Osoba odpowiedzialna w tym dniu za nadzór nad wydrukowanym wykazem pozostawiła go na krótki czas bez należytego nadzoru (wykaz leżał na biurku tej osoby, a osoba ta odwróciła się celem wykonania innych czynności w innej części tego samego pomieszczenia). W tym czasie w pomieszczeniu tym znajdował się też inny pracownik Spółki - kierowca z (....,) ) który, korzystając z zaistniałej sytuacji, skopiował (utrwalił w postaci zdjęcia) wykaz. Następnie, kierowca ten udostępnił tak wykonane zdjęcia co najmniej jednej osobie. Spółka wyjaśniła, że na pewno był to inny pracownik Spółki, również kierowca w  (...) . Obaj kierowcy mieli zostać poinformowani przez osobę odpowiedzialną za nadzór nad wydrukowanym wykazem, czy w ramach wykonywanej przez nich pracy, odpady mają być odbierane z miejsc, które widnieją na wyżej wskazanym wykazie.

W wydanej 12 listopada 2020 r. decyzji Prezes UODO stwierdził naruszenie przepisów art. 5 ust. 1 lit. f, art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 lit. d, art. 32 ust. 2, art. 33 ust. 1 i art. 34 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.) przez Sp. (....) z o.o. i udzielił administratorowi upomnienia, a także nakazał zawiadomienie osób, których dane dotyczą, o naruszeniu ochrony danych osobowych.

VII.501.95.2020