Naruszenie RODO w gminnym rejestrze mieszkańców
Gmina prowadzi elektroniczny rejestr wniosków o dowody osobiste. W styczniu administrator danych (wójt) opublikował na stronie BIP plik Excel z listą 320 wnioskodawców zawierającą imiona, nazwiska, PESEL i adresy. Plik był dostępny 9 dni, zanim został usunięty po sygnale od mieszkańca. Gmina nie ma Inspektora Ochrony Danych (IOD) - obowiązki pełni sekretarz gminy. Mieszkaniec, którego dane wyciekły, domaga się zadośćuczynienia i zawiadomienia Prezesa UODO. Gmina twierdzi, że „to był zwykły błąd, nikt nie ucierpiał”.
1. Oceń zgodność działania gminy z RODO i wskaż naruszenia.
Read the worked answer
Naruszenia:
- Zasada minimalizacji i poufności - publikacja PESEL i adresów w BIP jest nieproporcjonalna; dane nie były potrzebne do celu publicznego w tej formie.
- Brak IOD - gmina jako organ publiczny ma obowiązek wyznaczenia IOD; pełnienie tej funkcji przez sekretarza może rodzić konflikt interesów i nie spełnia wymogów niezależności.
- Brak zgłoszenia naruszenia - administrator ma obowiązek zgłosić naruszenie do Prezesa UODO w ciągu 72 godzin od stwierdzenia, jeśli może ono powodować ryzyko naruszenia praw. Publikacja PESEL + adresów to wysokie ryzyko - zgłoszenie było obowiązkowe.
- Brak zawiadomienia osób - przy wysokim ryzyku należy zawiadomić osoby, których dane dotyczą, bez zbędnej zwłoki.
- Brak rejestru naruszeń - administrator powinien dokumentować wszystkie naruszenia.
Ocena twierdzenia gminy: „zwykły błąd” nie zwalnia z obowiązków; ocenia się ryzyko, nie skutek. PESEL to dane szczególnie wrażliwe z punktu widzenia kradzieży tożsamości.
2. Jakie kroki powinna podjąć gmina teraz, a jakie roszczenia może zgłosić mieszkaniec?
Read the worked answer
Kroki gminy:
- Natychmiastowe zgłoszenie naruszenia do Prezesa UODO (jeśli jeszcze nie zgłoszono) - z opisem charakteru naruszenia, kategorii danych, skutków i działań zaradczych.
- Zawiadomienie osób - 320 osób, których dane dotyczyły, z informacją o charakterze naruszenia i zaleceniach (np. monitorowanie rachunków, zastrzeżenie PESEL).
- Wpis do rejestru naruszeń.
- Wyznaczenie IOD zgodnie z wymogami; ewentualnie powołanie zewnętrznego IOD.
- Analiza wewnętrzna - kto miał dostęp, dlaczego plik trafił do BIP; wdrożenie procedury kontroli publikacji.
- Szkolenie pracowników z ochrony danych.
Roszczenia mieszkańca:
- Zadośćuczynienie za szkodę niemajątkową (art. 82 RODO) - dochodzone przed sądem cywilnym; musi wykazać szkodę (np. stres, ryzyko kradzieży tożsamości).
- Skarga do Prezesa UODO - organ może nałożyć karę administracyjną na gminę.
- Żądanie usunięcia danych i informacji o przetwarzaniu.
Uwaga: odpowiedzialność administracyjna (kara UODO) jest niezależna od odpowiedzialności cywilnej.