UODO zakończył postępowanie ws. naruszenia ochrony danych osobowych w grodziskim ratuszu

O sprawie informowaliśmy pod koniec listopada 2021 roku. Jak wówczas wyjaśniał burmistrz Piotr Hojan, nie doszło do wycieku danych z serwerów urzędowych, nie było również włamania, więc o sprawie nie powiadomiono policji. Jakie dane wyciekły? Przede wszystkim lista osób, które złożyły wniosek w ramach Budżetu Obywatelskiego na 2016 rok. Chodzi o imiona, nazwiska i numery PESEL, głównie mieszkańców Białej Wsi. Wyciekły również dane osób, które były wnioskodawcami postępowań administracyjnych w zakresie decyzji środowiskowych.

Burmistrz zapewniał wówczas, że dane zostały usunięte lub zanonimizowane, a o sprawie zawiadomiono Urząd Ochrony Danych Osobowych. Początkowo nie wiedzieli o tym jednak mieszkańcy, których sprawa bezpośrednio dotyczyła. Osoby, których dane wyciekły, dowiedziały się o tym z publikacji w mediach.

- W pierwszym momencie zapadła decyzja, że nie będziemy mieszkańców informować o tym fakcie, ale już dzisiaj (dzień po pierwszej publikacji na temat naruszenia danych - przyp. red.) przygotowujemy pismo i wysyłamy je do tych osób. Robimy to z czystej ostrożności, żeby nikt nie mógł nam niczego zarzucić - mówił wówczas Piotr Hojan.

Urząd Ochrony Danych Osobowych został poinformowany o zdarzeniu oraz o tym, jakie kroki podjął Urząd Miejski w Grodzisku Wielkopolskim w związku z wyciekiem danych. Zawiadomienie do UODO, jak informowaliśmy wcześniej, złożył burmistrz, który jest jednocześnie administratorem danych osobowych. Jaki jest finał tego postępowania?

- UODO zakończył analizę dokonanego przez Burmistrza Grodziska Wielkopolskiego zgłoszenia naruszenia ochrony danych osobowych. Administrator wypełnił określone w RODO obowiązki związane z naruszeniem ochrony danych osobowych. Powiadomił o naruszeniu osoby w przypadku których wystąpiło wysokie ryzyko naruszenia praw lub wolności osób fizycznych oraz zastosował środki mające na celu wyeliminowanie podobnych zdarzeń w przyszłości - czytamy w odpowiedzi Adama Sanockiego, rzecznika prasowego Urzędu Ochrony Danych Osobowych.

Zapytaliśmy również, czy zdaniem UODO właściwym jest, że mieszkańców, których sprawa dotyczy, powiadomiono dopiero po tygodniu od naruszenia ich danych, po publikacjach medialnych na ten temat? Czy mieszkańcy nie powinni zostać poinformowani o tym fakcie natychmiast?

- Zważywszy na działania podjęte przez administratora w związku z naruszeniem ochrony danych UODO postanowił nie podejmować dalszych działań. Jednocześnie informuję, że gdyby administrator w ogóle nie powiadomił osób, których dotyczyło naruszenie, to wówczas UODO mógłby wydać decyzję nakazującą wykonanie takiego obowiązku - przekazał nam w odpowiedzi Adam Sanocki.

Rzecznik prasowy podkreślił również, że celem działań UODO jest przywrócenie stanu zgodnego z prawem. Nakładanie kar nie jest zaś celem samym w sobie. Dlatego UODO w pierwszej kolejności po przeprowadzeniu postępowania administracyjnego - jeśli w ogóle jest taka potrzeba - korzysta z takich uprawnień, jak upomnienia, ostrzeżenia czy wezwania do przywrócenia stanu, w którym przetwarzanie danych odbywa się zgodnie z prawem.