Biuletyn Informacji Publicznej RPO

• Pracownicy Biura RPO stwierdzili, że na stronie internetowej Aresztu Śledczego w Bydgoszczy przez klika lat znajdowały się dane osobowe 10 osób, które odbywały tam karę pozbawienia wolności, a nie odebrały swych rzeczy z depozytu
• Zgodnie z prawem Areszt Śledczy powinien był dokonać wezwania do podjęcia depozytu nie w Internecie, tylko poprzez jego wywieszenie na tablicy informacyjnej w swej siedzibie na 6 miesięcy
• A ujawnione dane wykraczały poza te, które są niezbędne dla skutecznego wezwania do odbioru depozytów
• Doszło do naruszenia przepisów o ochronie danych osobowych, zwłaszcza rozporządzenia RODO - napisał RPO Marcin Wiącek do dyrektora generalnego Służby Więziennej płk. Andrzeja Pecki z prośbą o wyjaśnienia
• AKTUALIZACJA 26.02.2025: Publikacja wezwań do odbioru niepodjętych depozytów miała charakter incydentalny - głosi odpowiedź DGSW. Osoba sporządzająca wezwanie, główny księgowy i dyrektor są obecnie na emeryturze. Dokonano przeglądu stron internetowych jednostek SW - na żadnej z nich nie zamieszczono takiego rodzaju wezwań.

Podczas wizytacji Aresztu Śledczego w Bydgoszczy pracownicy Zespołu ds. Wykonywania Kar Biura Rzecznika Praw Obywatelskich stwierdzili, że na ogólnodostępnej stronie internetowej jednostki zamieszczono wezwania do podjęcia depozytu z danymi osobowymi 10 osób, które odbywały tam karę pozbawienia wolności.

Chodzi o imiona, nazwiska oraz imiona ojców byłych osadzonych. Każde wezwanie było linkiem do skanu dokumentów, w których z kolei były takie dane osobowe, jak data i miejsce urodzenia, imiona rodziców, szczegółowy opis depozytów, ich rodzaj oraz wartość. Wezwania były datowane na jesień 2019 r.

W każdym wezwaniu powoływano się na ustawę o likwidacji niepodjętych depozytów, która stanowi: 

• art. 6 ust. 1. Przechowujący depozyt jest obowiązany wezwać uprawnionego do odbioru depozytu w terminie, o którym mowa w art. 4 ust. 2, oraz pouczyć go o skutkach jego niepodjęcia.
• art. 6 ust. 5. W przypadku braku możliwości doręczenia wezwania do odbioru depozytu lub nieustalenia uprawnionego, przechowujący depozyt jest obowiązany dokonać wezwania poprzez jego wywieszenie na tablicy informacyjnej w swojej siedzibie na okres 6 miesięcy. Jeżeli szacunkowa wartość depozytu przekracza kwotę 5.000 zł, przechowujący depozyt zamieszcza również ogłoszenie w dzienniku poczytnym w danej miejscowości lub w Biuletynie Informacji Publicznej.

Tym samym Areszt Śledczy był obowiązany dokonać wezwania przez jego wywieszenie na tablicy informacyjnej w swojej siedzibie na 6 miesięcy. Ustawodawca nie tylko nie upoważnił jednostek sektora finansów publicznych do samodzielnego decydowania o miejscu publikowania wezwań do podjęcia depozytu, ale także jednoznacznie wskazał, że dopiero określona szacowana wartość depozytu pozwala na wykonanie dodatkowych działań.

Tymczasem Areszt Śledczy w nieuprawniony sposób zamieścił wezwania na stronie internetowej, gdzie pozostawały publicznie dostępne niemal przez 5 lat - co najmniej do 2 października 2024 r., gdy zapisano je na potrzeby analizy w BRPO.

Zastrzeżenia budzi również zakres ujawnionych danych osobowych. Wykraczały one poza te, które są niezbędne, aby dokonać skutecznego wezwania do odbioru depozytów.

Takie działanie nie miało podstawy prawnej i zdaniem RPO naruszało przepisy ochrony danych osobowych, zwłaszcza rozporządzenia RODO z 27 kwietnia 2016 r. Na podstawie art. 5 ust. 1 lit. a RODO dane osobowe powinny być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dotyczą. Działania te mogły też naruszyć  zasadę minimalizacji danych (art. 5 ust. 1 lit. c RODO) przez opublikowanie nadmiernych informacji osobowych.

Skutkiem może być ryzyko naruszenia praw lub wolności osób fizycznych, co oznacza, że administratorzy są zobligowani do zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych.

RPO zwraca się do dyrektora DGSW o wyjaśnienie okoliczności, które doprowadziły do publikacji tych danych osobowych. Prosi także o informacje o podjętych działaniach naprawczych, w tym ewentualnym zgłoszeniu naruszenia ochrony danych osobowych do PUODO.

Ponadto RPO sugeruje rozważenie wdrożenia procedur dla zapobiegania podobnym sytuacjom w przyszłości oraz przeszkolenia pracowników SW z procedur likwidacji niepodjętych depozytów i z zakresu ochrony danych osobowych.

Odpowiedź płk. Andrzeja Pecki, dyrektora generalnego SW

W nawiązaniu do pisma o sygn. IX.517.1567.2024.ZB z dnia 27 stycznia 2025 r. dotyczącego wizytacji przeprowadzonej w Areszcie Śledczym w Bydgoszczy uprzejmie informuję, że kwestie zawarte w omawianym wystąpieniu zostały wnikliwie przeanalizowane przez właściwe merytorycznie komórki organizacyjne Centralnego Zarządu Służby Więziennej.

Jak wynika z uzyskanych w sprawie informacji, umieszczenie wezwań do podjęcia depozytu przez administrację wskazanej powyżej jednostki penitencjarnej miało miejsce w okresie pomiędzy 5 a 29 listopada 2019 r. Opublikowane dokumenty, zawierały imię i nazwisko, imiona rodziców, datę i miejsce urodzenia właściciela depozytu, rodzaj depozytu i jego wartość. Wszystkie były również opatrzone podpisem dyrektora jednostki i zawierały podstawy prawne ich sporządzenia.

W chwili obecnej, w związku z tym, iż osoba sporządzająca wezwanie, główny księgowy oraz dyrektor przebywają na zaopatrzeniu emerytalnym, niemożliwym jest ustalenie, kto wówczas odpowiadał za publikację treści i czasookres, w którym były one udostępnione na stronie internetowej jednostki. Można przypuszczać, iż ogłoszenia na stronie internetowej, potraktowano jako „cyfrową tablicę ogłoszeń jednostki" lub błędnie zasugerowano się treścią art. 693[3] § 1 Kodeksu Postępowania Cywilnego, który umożliwia stosowanie stron internetowych w procedurze likwidacji niepodjętych depozytów przez sądy. Z analizy dokumentów archiwalnych, umieszczanych na stronie internetowej, wynika, że publikacja wezwań do odbioru niepodjętych depozytów, miała charakter incydentalny. Nigdy później takie ogłoszenie nie pojawiło się wśród danych ogólnie dostępnych poprzez kanał internetowy.

Informuję, że po stwierdzeniu nieprawidłowości dotyczących wezwania uprawnionych do podjęcia depozytu przeprowadzono czynności sprawdzające w tej sprawie i usunięto wezwania z ogólnodostępnej strony internetowej Aresztu Śledczego w Bydgoszczy. Jednocześnie o naruszeniu prawa do ochrony danych osobowych powiadomiono właściwy organ, tj.: Prezesa Urzędu Ochrony Danych Osobowych, jak również wysłano powiadomienia do osób, których naruszenie danych osobowych dotyczyło (do pięciu z jedenastu wskazanych osób nie wysłano zawiadomienia ze względu na potwierdzone informacje o ich zgonie).

Należy podkreślić, że Areszt Śledczy w Bydgoszczy posiada procedury zamieszczania danych na stornie internetowej jednostki i są one określone w Zarządzeniu Dyrektora Aresztu Śledczego w Bydgoszczy z dnia 16 kwietnia 2024 roku w sprawie obsługi medialnej Aresztu Śledczego w Bydgoszczy oraz powierzenia funkcji rzecznika prasowego Dyrektora Aresztu Śledczego w Bydgoszczy.

Zgodnie z obowiązującą procedurą, Rzecznik prasowy Dyrektora Aresztu Śledczego w Bydgoszczy wykonuje działalność prasowo-informacyjną, która polega w szczególności m.in. na prowadzeniu działalności informacyjnej poprzez publikowanie na stronie internetowej aktualności z życia jednostki penitencjarnej, w tym również dodawania, uzupełniania oraz aktualizowania informacji tam zawartych. Zgodnie z § 6 ust. 1 przywołanego zarządzenia to kierownicy komórek merytorycznych oraz funkcjonariusze na samodzielnych stanowiskach pracy zobowiązani są do zgłaszania, w raporcie pisemnym skierowanym do Dyrektora jednostki, konieczności aktualizacji informacji umieszczonych na stronie internetowej Aresztu Śledczego w Bydgoszczy.

W celu ograniczenia ryzyka wystąpienia analogicznego zdarzenia w przyszłości, główny księgowy Aresztu Śledczego w Bydgoszczy przeprowadziła szkolenie praktyczne podległych funkcjonariuszy z zasad postępowania z depozytami niepodjętymi. Zaplanowano również szkolenie z przedmiotowej materii w trakcie najbliżej odprawy w Okręgowym Inspektoracie Służby Więziennej w Bydgoszczy, a dodatkowo temat ten zostanie omówiony podczas wideokonferencji z dyrektorami jednostek i osobami odpowiedzialnymi za ochronę danych osobowych. Dokonano także przeglądu treści stron internetowych jednostek (zakładka: „Dla interesantów") i na żadnej z nich nie zamieszczono takiego rodzaju wezwań. Działania profilaktyczne w tym zakresie zostaną przeprowadzone także przez Centralny Zarząd Służby Więziennej.

IX.517.1567.2024