Główny Geodeta Kraju otrzymał od prezesa UODO trzecią karę administracyjną. Wysokość kary wyniosła 60 tys. zł.
Sankcja została nałożona za niezgłoszenie naruszenia ochrony danych osobowych organowi nadzorczemu i niepowiadomienie o zaistniałej sytuacji osób, których dane osobowe zostały ujawnione.
Początkiem kwietnia 2022 r. przez ponad dwie doby, w serwisie www.geoportal.gov.pl prowadzonym przez Głównego Geodetę Kraju, widoczne były numery ksiąg wieczystych. Znając taki numer można ustalić wiele danych właściciela, np. numer PESEL, imię, nazwisko czy adres nieruchomości. O naruszeniu Urząd Ochrony Danych Osobowych dowiedział się z mediów, a nie od tego, kto powinien to zgłosić, czyli administratora.
Siódmego kwietnia UODO wystosował pismo do Głównego Geodety Kraju, w którym poinformował o obowiązku zgłaszania naruszeń ochrony danych organowi nadzorczemu oraz o koniczności powiadomienia o tym osób, których dotyczy taki incydent. Wspomniane ze względu na to, że takie zajście może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, czyli prowadzić np. do tzw. kradzieży tożsamości. Zgłoszenie naruszenia ochrony danych osobowych od GGK nie wpłynęło nawet po tym piśmie, w związku z tym UODO wszczął postępowanie administracyjne. W jego toku GGK stał na stanowisku, że numery ksiąg wieczystych nie są danymi osobowymi, a co więcej, są one widoczne także w innych serwisach.
Organ nadzorczy w decyzji administracyjnej przypomniał definicję danych osobowych, która jest określona w art. 4 pkt. 1 RODO. Zgodnie z nią, danymi osobowymi są wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania w sposób bezpośredni lub pośredni osobie fizycznej. Co więcej, UDOD przytoczył wyrok WSA w Warszawie, w którym sąd potwierdził stanowisko organu, że numery ksiąg wieczystych to dane osobowe.
Odnosząc się do zarzutu GGK, wskazującego, że istnieją serwisy ujawniające numery ksiąg wieczystych, UODO zwrócił uwagę, że swojego bezprawnego działania administrator nie może uzasadniać faktem istnienia podmiotów prywatnych, prowadzących serwisy internetowe umożliwiające dostęp do treści ksiąg wieczystych. Oprócz tego, oceny ryzyka naruszenia praw lub wolności osoby fizycznej, należy dokonywać przyjmując punkt widzenia osoby dotkniętej naruszeniem i jej interesów, a nie interesów administratora.
UODO odpowiedział także na argument GGK, mówiący, że pomimo uwidocznienia numerów ksiąg wieczystych nie doszło do negatywnych konsekwencji dla osób, których dane były widoczne. Organ nadzorczy wskazał, że obowiązek zawiadomienia osoby fizycznej o naruszeniu nie jest uzależniony od materializacji negatywnych konsekwencji dla takiej osoby, ale od samej możliwości wystąpienia wysokiego ryzyka naruszenia praw lub wolności osób fizycznych.
Nakładając karę UODO wziął pod uwagę fakt, że w jego ocenie naruszenie miało dużą wagę i poważny charakter, a niezgłoszenie tego incydentu, jak i niepowiadomienie osób było umyślne. Istotne przy wydawaniu decyzji było też to, że organ o naruszeniu dowiedział się z mediów, a nie od administratora.
Pełna treść decyzji UODO znajduje się pod adresem: https://www.uodo.gov.pl/decyzje/DKN.5131.27.2022
