Kara UODO dla Komendanta Głównego Policji

Sprawa dotyczy incydentu z 2023 r. Media ujawniły wtedy, że kobieta, która kontaktowała się z numerem 112, zgłaszała, że ma kłopoty psychiczne, a wcześniej usunęła ciążę metodą farmakologiczną. Kobieta trafiła na pogotowie, gdzie wkrótce pojawili się policjanci. Zabrali jej laptop i telefon komórkowy, kazali rozebrać i chcieli być obecni podczas badania. Media podały imię kobiety i miasto, w którym doszło do zdarzenia. Ona sama wystąpiła przed kamerami, ujawniając swój wizerunek.

Wtedy ówczesny komendant główny policji zwołał konferencję prasową i – tłumacząc działania podwładnych – ujawnił dodatkowo informacje dotyczące zdrowia kobiety i inne dane o niej, a nie miał do tego żadnych podstaw. Komendant ujawnił je w konkretnym kontekście – kiedy opinia publiczna znała jej dane i sprawę. Podane przez niego informacje można było więc powiązać z konkretną osobą. Podał przy tym dane wcześniej przez tę osobę nieujawnione, jak informacje o leczeniu psychiatrycznym, co narusza zakaz przetwarzania danych dotyczących zdrowia, określony w art. 9 ust. 1 RODO, a także informacje o rozpadzie związku skarżącej, miejscu zamieszkania i rodzaju domu oraz tytule prawnym do lokalu, co naruszyło art. 6 ust. 1 RODO.

Badając tę sprawę po skardze kobiety, prezes Urzędu Ochrony Danych Osobowych stwierdził naruszenie przepisów RODO (art. 6 ust. 1 oraz art. 9 ust. 1) i nałożył na komendanta głównego policji karę w wysokości 75 tys. zł.

Poważne naruszenie przepisów RODO

Prezes UODO stwierdził, że to naruszenie przepisów RODO ma poważny charakter. Doszło do publicznego udostępnienia bez podstawy prawnej danych osobowych osoby, której policja miała udzielić pomocy. Komendant główny policji, jako organ władzy publicznej właściwy w sprawach ochrony bezpieczeństwa ludzi oraz utrzymania bezpieczeństwa i porządku publicznego, stojąc na czele formacji przeznaczonej do realizacji tych zadań, jest podmiotem, który powinien szczególnie dbać o dobro takich osób i bezpieczeństwo ich danych osobowych.

Udostępnienie przez komendanta danych z naruszeniem RODO (bez podstawy prawnej) podczas konferencji pociąga za sobą nie tylko potencjalną, ale również realną możliwość wykorzystania tych danych przez podmioty trzecie bez wiedzy i zgody osoby, której dane dotyczą, a zatem wiąże się z ryzykiem wystąpienia szkody, w szczególności w postaci dyskryminacji, utraty dobrego imienia oraz utraty kontroli nad własnymi danymi.

Prezes UODO wskazuje, że policja nie może się w tej sprawie zasłaniać przepisami, które wyłączają RODO i pozwalają przetwarzać dane osobowe w celu „rozpoznawania, zapobiegania, wykrywania i zwalczania czynów zabronionych”. Nagranie z numeru 112, które zapoczątkowało sprawę, dotyczyło możliwości popełnienia samobójstwa, a to nie jest czyn karalny. Zatem informacje o skarżącej nie zostały zebrane przez Policję w celach określonych w art. 1 pkt 1 ustawy z 14 grudnia 2018 r. o ochronie danych osobowych przetwarzanych w związku z zapobieganiem i zwalczaniem przestępczości, stąd w ocenie prezesa UODO ustawa ta i powoływanie się przez policję na wyłączenie nie miały zastosowania w sprawie.

Informacje nie były materiałem prasowym

Prezes UODO podkreślił, że informacje ujawnione na konferencji nie były – jak tłumaczyła KGP – „materiałem prasowym”. Konferencja prasowa nie jest działalnością komendanta, polegającą „na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu przez niego materiałów prasowych”, więc komendant główny policji nie mógł się bronić tym, że informacje ujawnione na konferencji stanowiły materiał prasowy w rozumieniu prawa prasowego, który został udostępniony w ramach działalności prasowej policji na podstawie prawa prasowego, co wyłącza zastosowanie w stosunku do tego materiału art. 5-9 RODO.

Komendant – stosownie do treści art. 5 ust. 1 ustawy o Policji – jest centralnym organem administracji rządowej, właściwym w sprawach ochrony bezpieczeństwa ludzi oraz utrzymania bezpieczeństwa i porządku publicznego. Organy władzy publicznej, a zatem także komendant, nie są zaś beneficjentami wolności prasy i innych środków społecznego przekazu, określonej w art. 14 Konstytucji oraz wolności wyrażania poglądów (art. 54 Konstytucji).

W ocenie prezesa UODO administracyjna kara pieniężna spełni w tych konkretnych okolicznościach funkcję edukacyjną, ale również prewencyjną. Wskaże bowiem zarówno komendantowi, jak i innym administratorom danych na odpowiedzialność organów władzy publicznej za bezprawne działania podejmowane przez niearbitralnie z wykorzystaniem swojej władzy oraz możliwości, które ta władza daje.

Administracyjna kara pieniężna została nałożona na administratora danych, którym w tym przypadku jest organ władzy publicznej. W takiej sytuacji możliwe jest wystąpienie na drodze cywilnej z regresem o zwrot pieniędzy od konkretnych osób, które swoim zachowaniem spowodowały naruszenia przepisów o ochronie danych osobowych.

Nowość