Biuletyn Informacji Publicznej RPO

• Pracownicy Biura RPO stwierdzili, że na stronie internetowej Aresztu Śledczego w Bydgoszczy przez klika lat znajdowały się dane osobowe 10 osób, które odbywały tam karę pozbawienia wolności, a nie odebrały swych rzeczy z depozytu
• Zgodnie z prawem Areszt Śledczy powinien był dokonać wezwania do podjęcia depozytu nie w Internecie, tylko poprzez jego wywieszenie na tablicy informacyjnej w swej siedzibie na 6 miesięcy
• A ujawnione dane wykraczały poza te, które są niezbędne dla skutecznego wezwania do odbioru depozytów
• Doszło do naruszenia przepisów o ochronie danych osobowych, zwłaszcza rozporządzenia RODO - napisał RPO Marcin Wiącek do dyrektora generalnego Służby Więziennej płk. Andrzeja Pecki z prośbą o wyjaśnienia

Podczas wizytacji Aresztu Śledczego w Bydgoszczy pracownicy Zespołu ds. Wykonywania Kar Biura Rzecznika Praw Obywatelskich stwierdzili, że na ogólnodostępnej stronie internetowej jednostki zamieszczono wezwania do podjęcia depozytu z danymi osobowymi 10 osób, które odbywały tam karę pozbawienia wolności.

Chodzi o imiona, nazwiska oraz imiona ojców byłych osadzonych. Każde wezwanie było linkiem do skanu dokumentów, w których z kolei były takie dane osobowe, jak data i miejsce urodzenia, imiona rodziców, szczegółowy opis depozytów, ich rodzaj oraz wartość. Wezwania były datowane na jesień 2019 r.

W każdym wezwaniu powoływano się na ustawę o likwidacji niepodjętych depozytów, która stanowi: 

• art. 6 ust. 1. Przechowujący depozyt jest obowiązany wezwać uprawnionego do odbioru depozytu w terminie, o którym mowa w art. 4 ust. 2, oraz pouczyć go o skutkach jego niepodjęcia.
• art. 6 ust. 5. W przypadku braku możliwości doręczenia wezwania do odbioru depozytu lub nieustalenia uprawnionego, przechowujący depozyt jest obowiązany dokonać wezwania poprzez jego wywieszenie na tablicy informacyjnej w swojej siedzibie na okres 6 miesięcy. Jeżeli szacunkowa wartość depozytu przekracza kwotę 5.000 zł, przechowujący depozyt zamieszcza również ogłoszenie w dzienniku poczytnym w danej miejscowości lub w Biuletynie Informacji Publicznej.

Tym samym Areszt Śledczy był obowiązany dokonać wezwania przez jego wywieszenie na tablicy informacyjnej w swojej siedzibie na 6 miesięcy. Ustawodawca nie tylko nie upoważnił jednostek sektora finansów publicznych do samodzielnego decydowania o miejscu publikowania wezwań do podjęcia depozytu, ale także jednoznacznie wskazał, że dopiero określona szacowana wartość depozytu pozwala na wykonanie dodatkowych działań.

Tymczasem Areszt Śledczy w nieuprawniony sposób zamieścił wezwania na stronie internetowej, gdzie pozostawały publicznie dostępne niemal przez 5 lat - co najmniej do 2 października 2024 r., gdy zapisano je na potrzeby analizy w BRPO.

Zastrzeżenia budzi również zakres ujawnionych danych osobowych. Wykraczały one poza te, które są niezbędne, aby dokonać skutecznego wezwania do odbioru depozytów.

Takie działanie nie miało podstawy prawnej i zdaniem RPO naruszało przepisy ochrony danych osobowych, zwłaszcza rozporządzenia RODO z 27 kwietnia 2016 r. Na podstawie art. 5 ust. 1 lit. a RODO dane osobowe powinny być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dotyczą. Działania te mogły też naruszyć  zasadę minimalizacji danych (art. 5 ust. 1 lit. c RODO) przez opublikowanie nadmiernych informacji osobowych.

Skutkiem może być ryzyko naruszenia praw lub wolności osób fizycznych, co oznacza, że administratorzy są zobligowani do zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych.

RPO zwraca się do dyrektora DGSW o wyjaśnienie okoliczności, które doprowadziły do publikacji tych danych osobowych. Prosi także o informacje o podjętych działaniach naprawczych, w tym ewentualnym zgłoszeniu naruszenia ochrony danych osobowych do PUODO.

Ponadto RPO sugeruje rozważenie wdrożenia procedur dla zapobiegania podobnym sytuacjom w przyszłości oraz przeszkolenia pracowników SW z procedur likwidacji niepodjętych depozytów i z zakresu ochrony danych osobowych.

IX.517.1567.2024