Główny Geodeta Kraju, podmiot prowadzący stronę internetową www.geoportal.gov.pl, dopuścił się uchybienia przepisów RODO przez niezgłoszenie naruszenia ochrony danych osobowych, które powstało w wyniku opublikowania przez niego numerów ksiąg wieczystych. Warto zaznaczyć, że w wyniku tej publikacji każdy mógł bez przeszkód poznać dane osobowe właścicieli nieruchomości przypisanych do danych ksiąg, między innymi ich imię, nazwisko, imiona rodziców, adres nieruchomości, a nawet numer PESEL. Urząd Ochrony Danych Osobowych w wydanej przez siebie w tej sprawie decyzji podkreślił, że numery ksiąg wieczystych stanowią dane osobowe w rozumieniu definicji zawartej w art. 4 pkt 1 RODO, co poparte zostało także wyrokiem Wojewódzkiego Sądu Administracyjnego, w którym oddalono skargę na decyzję Prezesa UODO i potwierdzono, że numery ksiąg wieczystych są danymi osobowymi. Za tezą tą przemawia szereg przywołanych w decyzji możliwych negatywnych konsekwencji związanych z wyciekiem tych informacji do wiadomości publicznej. UODO wymienia tutaj przede wszystkim numer PESEL, jako szczególnie stwarzający pole do nadużyć, powołując się na dane z raportu Kampanii Informacyjnej Systemu DOKUMENTY ZASTRZEŻONE, zgodnie z którym tylko w I kwartale 2022 r. odnotowano prawie 2 tysiące wyłudzeń kredytów czy pożyczek. Jak dodaje organ: „udostępnienie przez organ administracji publicznej, jakim jest Administrator, dysponujący danymi w skali całego kraju, numerów ksiąg wieczystych w Serwisie przez ponad 48 godzin mogło dać innym podmiotom udostępniającym numery ksiąg wieczystych za pośrednictwem powszechnie dostępnych usług sieciowych możliwość np. zaktualizowania prowadzonych baz danych celem ich dalszego udostępniania”.

Zgodnie z artykułem 33 RODO, administrator danych powinien bez zbędnej zwłoki, najpóźniej w terminie 72 godzin od stwierdzenia naruszenia, poinformować o nim organ nadzorczy, chyba że jest mało prawdopodobne, by wiązało się ono z ryzykiem naruszenia praw i wolności osób fizycznych. W przypadku opublikowania numerów ksiąg wieczystych UODO nie został jednak poinformowany o naruszeniu przez administratora danych, którym jest Główny Geodeta Kraju, a dowiedział się o nim z mediów. Powodem do wszczęcia postępowania nie było jednak wyłącznie niezgłoszenie naruszenia, ale fakt, że administrator danych osobowych został najpierw poinformowany przez Urząd o obowiązku zgłoszenia zdarzenia, a mimo to nadal zwlekał z podjęciem odpowiednich czynności. Administrator danych nie dokonał także żadnej oceny potencjalnego ryzyka naruszenia praw i wolności osób fizycznych. Zgodnie ze stanowiskiem Urzędu „zgłaszanie naruszeń ochrony danych osobowych przez administratorów stanowi skuteczne narzędzie przyczyniające się do realnej poprawy bezpieczeństwa przetwarzania danych osobowych”.

Ponadto, jak w swojej decyzji podkreśla organ, nie ma tutaj znaczenia fakt, iż do negatywnych konsekwencji dla właścicieli nieruchomości, których dane zostały ujawnione nie doszło. Do zadań administratora danych osobowych należy bowiem zgłoszenie każdego naruszenia i poinformowanie o nim osób, których dane wyciekły. Bez wpływu na rozstrzygnięcie pozostawiono także informację, że w rozpatrywanej sprawie do ujawnienia danych doszło w wyniku pomyłki.

Mimo że Główny Geodeta Kraju podnosił na swoją obronę argument, zgodnie z którym istnieją serwisy internetowe, w których można swobodnie uzyskać dostęp do numerów ksiąg wieczystych, Urząd stanął na stanowisku, że nie może to usprawiedliwiać innych naruszeń, szczególnie biorąc pod uwagę, że zgodnie z obowiązującymi przepisami, ryzyko naruszenia praw osób fizycznych należy oceniać z punktu widzenia interesów tychże osób, nie zaś administratora danych dopuszczającego się naruszenia. W decyzji dodano także, że sama zasada jawności ksiąg wieczystych nie stanowi podstawy prawnej do publikacji numerów ksiąg wieczystych.

W związku z dużą wagą i poważnym charakterem naruszenia w ocenie UODO oraz niezgłoszeniem go mimo uprzedniego powiadomienia o takim obowiązku, a zatem umyślnym działaniem administratora danych, Urząd postanowił ukarać Głównego Geodetę Kraju grzywną w wysokości 60 tysięcy złotych, co stanowi 60% maksymalnej kwoty.

Źródła:
https://www.uodo.gov.pl/decyzje/DKN.5131.27.2022

https://uodo.gov.pl/pl/138/2411