Umieszczenie danych osobowych bez zgody w internecie

Jaki przepis ma dziś zastosowanie?

W pierwotnym pytaniu wskazano art. 49 dawnej ustawy o ochronie danych osobowych. Przepis ten odnosił się do uchylonej ustawy z 1997 r. Obecnie w sprawach bezprawnego przetwarzania danych osobowych należy przede wszystkim analizować ustawę z dnia 10 maja 2018 r. o ochronie danych osobowych oraz RODO.

Aktualny przepis karny znajduje się w art. 107 ustawy o ochronie danych osobowych z 2018 r. Zgodnie z nim karze podlega ten, kto przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo nie jest do niego uprawniony. Jeżeli naruszenie dotyczy szczególnych kategorii danych, takich jak dane o zdrowiu, poglądach politycznych, przekonaniach religijnych czy życiu seksualnym, zagrożenie karą jest surowsze.

Publikacja danych na stronie internetowej może być przetwarzaniem danych osobowych, jeżeli dane pozwalają zidentyfikować konkretną osobę. Dotyczy to nie tylko imienia i nazwiska, lecz także adresu, numeru telefonu, adresu e-mail, numeru mieszkania, zdjęcia, informacji o zadłużeniu albo innych danych, które w konkretnym kontekście wskazują na określoną osobę.

Co może zrobić osoba, której dane opublikowano bez zgody?

Brak zgody nie zawsze automatycznie oznacza naruszenie, ponieważ przetwarzanie danych może opierać się także na innej podstawie prawnej, na przykład obowiązku prawnym administratora albo prawnie uzasadnionym interesie. Jeżeli jednak publikacja nie ma podstawy prawnej, osoba, której dane dotyczą, może działać równolegle na kilku płaszczyznach.

• ŝądanie usunięcia danych – można wezwać administratora strony do niezwłocznego usunięcia danych z witryny, plików, załączników i kopii dostępnych publicznie.
• ŝądanie ograniczenia przetwarzania – w określonych sytuacjach można domagać się wstrzymania dalszego wykorzystywania danych do czasu wyjaśnienia sprawy.
• ŝądanie informacji – administrator powinien wskazać m.in. cel przetwarzania, podstawę prawną, zakres danych, odbiorców danych oraz źródło ich pozyskania, jeżeli dane nie pochodzą od osoby, której dotyczą.
• ŝądanie sprostowania – jeżeli opublikowane dane są nieprawdziwe albo nieaktualne, można żądać ich poprawienia.
• Skarga do Prezesa UODO – jeżeli administrator nie reaguje albo naruszenie jest poważne, można złożyć skargę do organu nadzorczego.
• Roszczenia cywilne – w razie szkody majątkowej lub krzywdy można rozważyć żądanie odszkodowania albo zadośćuczynienia, w tym na podstawie RODO i przepisów o ochronie dóbr osobistych.
• Zawiadomienie o podejrzeniu przestępstwa – jeżeli zachowanie było umyślne i polegało na niedopuszczalnym przetwarzaniu danych, można zawiadomić organy ścigania.

Czy nieumyślne ujawnienie danych przez pracownika jest przestępstwem?

To zależy od okoliczności. Sam fakt, że dane pojawiły się w internecie, nie oznacza jeszcze automatycznie odpowiedzialności karnej konkretnego pracownika. W postępowaniu należałoby ustalić m.in., kto faktycznie opublikował dane, czy miał do nich dostęp, czy był uprawniony do ich przetwarzania, jakie procedury obowiązywały u pracodawcy i czy naruszenie było skutkiem świadomego działania.

Przestępstwo z art. 107 ustawy o ochronie danych osobowych jest co do zasady wiązane z umyślnym działaniem. Jeżeli pracownik przez pomyłkę opublikował plik, źle skonfigurował dostęp albo omyłkowo wysłał dane do niewłaściwej osoby, nie zawsze będzie to przestępstwo. Może jednak powstać odpowiedzialność pracownicza, porządkowa, odszkodowawcza albo dyscyplinarna, a administrator danych może ponosić konsekwencje administracyjne na gruncie RODO.

Jakie kary grożą za bezprawne przetwarzanie danych?

Za niedopuszczalne przetwarzanie danych osobowych lub przetwarzanie danych bez uprawnienia art. 107 ustawy o ochronie danych osobowych przewiduje grzywnę, karę ograniczenia wolności albo karę pozbawienia wolności. W przypadku zwykłych danych osobowych górna granica kary pozbawienia wolności wynosi 2 lata, a przy szczególnych kategoriach danych – 3 lata.

W praktyce ocena ryzyka karnego wymaga analizy dowodów. Sąd lub organ prowadzący postępowanie będzie badał m.in. formę winy, skalę naruszenia, rodzaj ujawnionych danych, czas dostępności danych w internecie, skutki dla osób poszkodowanych oraz to, czy sprawca albo administrator szybko podjęli działania naprawcze.

Co zrobić od razu po wykryciu publikacji danych?

W pierwszej kolejności warto zabezpieczyć dowody. Może to być zrzut ekranu strony, adres URL, data i godzina wykrycia publikacji, kopia pliku, korespondencja z administratorem strony oraz informacja, jakie dane były widoczne publicznie. Następnie należy wezwać administratora do usunięcia danych i wskazania podstawy prawnej ich publikacji.

Jeżeli dane zostały skopiowane przez wyszukiwarki albo inne serwisy, samo usunięcie ich z pierwotnej strony może nie wystarczyć. W takiej sytuacji trzeba ustalić, gdzie dane nadal są dostępne i kierować żądania także do podmiotów, które je dalej udostępniają. W sprawach pilnych znaczenie ma szybkie działanie, zwłaszcza gdy ujawniono dane kontaktowe, adres zamieszkania, informacje o zdrowiu, finansach lub konfliktach rodzinnych.

FAQ

Czy do publikacji danych osobowych zawsze potrzebna jest zgoda?

Nie zawsze. Zgoda jest tylko jedną z podstaw przetwarzania danych. Administrator może czasem powołać się na obowiązek prawny albo prawnie uzasadniony interes. Jeżeli jednak żadna podstawa prawna nie istnieje, publikacja danych w internecie może być bezprawna.

Czy imię i nazwisko to zawsze dane osobowe?

Najczęściej tak, jeżeli pozwalają zidentyfikować konkretną osobę samodzielnie albo w połączeniu z innymi informacjami. Dane osobowe mogą obejmować także adres e-mail, numer telefonu, zdjęcie, numer lokalu, informacje o zadłużeniu lub dane o stanie zdrowia.

Czy można żądać usunięcia danych z internetu?

Tak, jeżeli dalsze przetwarzanie danych nie ma podstawy prawnej albo zachodzą inne przesłanki wynikające z RODO. ŝądanie najlepiej skierować pisemnie lub mailowo do administratora strony, wskazując dokładnie, które dane i gdzie zostały opublikowane.

Czy przypadkowe ujawnienie danych oznacza więzienie?

Nie automatycznie. Odpowiedzialność karna wymaga indywidualnej oceny, w szczególności ustalenia, czy działanie było umyślne. Nieumyślny błąd może jednak powodować inne konsekwencje, w tym pracownicze, cywilne lub administracyjne.

Czy warto składać skargę do Prezesa UODO?

Skarga jest uzasadniona zwłaszcza wtedy, gdy administrator nie usuwa danych, nie odpowiada na żądania, nie wyjaśnia podstawy publikacji albo naruszenie dotyczy wrażliwych informacji. Wcześniej warto zabezpieczyć dowody i zachować korespondencję z administratorem.

Podsumowanie

Jeżeli dane osobowe zostały umieszczone na stronie internetowej bez podstawy prawnej, osoba poszkodowana nie musi ograniczać się do prośby o ich usunięcie. Może skorzystać z praw przewidzianych w RODO, złożyć skargę do Prezesa UODO, dochodzić roszczeń cywilnych, a w poważniejszych przypadkach zawiadomić organy ścigania.

W przypadku pracownika, który ujawnił dane w trakcie wykonywania obowiązków, kluczowe jest ustalenie, czy doszło do umyślnego działania, czy do błędu organizacyjnego lub technicznego. Od tego zależy, czy realne jest ryzyko odpowiedzialności karnej, czy raczej odpowiedzialność innego rodzaju.

Źródła:

1. Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych - Dz.U. 2018 poz. 1000
2. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE

Nie znalazłeś odpowiedzi na swoje pytania? Opisz nam swoją sprawę wypełniając formularz poniżej  ▼▼▼ Zadanie pytania do niczego nie zobowiązuje.