Prokuratura ujawniła pokrzywdzonemu dane osobowe pozostałych pokrzywdzonych
Pytanie: Znajomą padła ofiarą oszusta. Udowodniono mu winę, został skazany. Teraz otrzymała pismo z prokuratury z listą – imię i nazwisko plus ulica zamieszkania – wszystkich osób, które również zostały oszukane przez tę osobę. Czy to jest zgodne z RODO?
Odpowiedź: Co do zasady takie ujawnianie danych innych pokrzywdzonych (imienia, nazwiska i adresu) budzi poważne wątpliwości z punktu widzenia RODO i standardu ochrony danych ofiar przestępstw, chyba że prokuratura wykaże bardzo konkretną podstawę prawną i niezbędność takiego zakresu danych. Prokuratura jest administratorem danych osobowych pokrzywdzonych i musi stosować zasady z art. 5 RODO (minimalizacja, ograniczenie celu, poufność, rozliczalność). Dane osób pokrzywdzonych powinny być szczególnie chronione, a wszelkie ujawnianie musi być oparte na wyraźnym przepisie i spełniać zasadę proporcjonalności. Ujawnienie imienia, nazwiska i adresu każdej osoby pokrzywdzonej innym pokrzywdzonym wykracza poza to, co zwykle jest niezbędne do realizacji celów postępowania (np. dochodzenia roszczeń). Na przykład Rzecznik Praw Obywatelskich wskazywał, że nawet w listach gończych ujawnianie danych pokrzywdzonych (imiona, nazwiska) nie jest konieczne do osiągnięcia celu postępowania i narusza standard ochrony prywatności. Z kolei Prezes UODO nałożył karę na Prokuraturę Krajową m.in. za nadmierne ujawnienie danych osoby pokrzywdzonej (w tym danych szczególnych kategorii) – podkreślono, że prokuratura powinna w sposób niebudzący wątpliwości chronić dane pokrzywdzonych. UODO zaznacza, że udostępnienie danych musi mieć nie tylko podstawę ustawową, ale też musi być proporcjonalne i nie może nadmiernie naruszać prywatności.
W opisanej przez Ciebie sytuacji, wysłanie każdemu pokrzywdzonemu listy wszystkich innych osób z imionami, nazwiskami i ulicami zamieszkania jest co najmniej na granicy standardu ochrony, a bardzo możliwe, że stanowi naruszenie zasady minimalizacji danych z RODO, jeśli nie było to absolutnie konieczne i jasno umocowane w przepisach. Twoja znajoma może zwrócić się do prokuratury z żądaniem wyjaśnienia, jaka jest podstawa prawna ujawnienia jej danych innym pokrzywdzonym, w jakim celu to zrobiono oraz jaki jest zakres odbiorców i na jakiej podstawie. Ma prawo złożyć skargę do Prezesa UODO, opisując sytuację, załączając kopię pisma z prokuratury i wskazując, że ujawniono jej dane innym osobom pokrzywdzonym bez jej zgody, w szerokim zakresie (adres). Może też zażądać ograniczenia dalszego udostępniania jej danych oraz ewentualne roszczenia odszkodowawcze, jeśli wykaże szkodę wynikającą z naruszenia RODO.