Kara UODO dla Prokuratury Krajowej za naruszenie ochrony danych pokrzywdzonego

Opracowanie: Michał Kowalski

Postępowanie wszczęte przez Prezesa UODO dotyczyło ujawnienia danych osobowych pokrzywdzonego (w rozumieniu art. 49 § 1 Kodeksu postępowania karnego) podczas jednej z konferencji prasowych. Ówczesny Minister Sprawiedliwości Zbigniew Ziobro i Prokurator Prokuratury Krajowej Tomasz Szafrański upublicznili wówczas personalia pokrzywdzonego, ale też informacje dotyczące stanu faktycznego sprawy w wyroku jednego z sądów rejonowych. Poza imieniem i nazwiskiem pokrzywdzonego ujawniono dane szczególnej kategorii.

W ocenie Prezesa UODO ujawnienie to nastąpiło bez podstawy prawnej. Mimo tego ani Minister Sprawiedliwości ani Prokurator Prokuratury Krajowej nie dokonali zgłoszenia naruszenia ochrony danych. O naruszeniu nie zawiadomili również osoby, której dane ujawniono. Nie dokonano też analizy zdarzenia pod kątem ryzyka naruszenia praw i wolności osób fizycznych.

Prokuratura wskazała, że ujawnione dane osobowe były ujawnione zarówno w toku postępowania jak i w orzeczeniu sądu i przytoczono je celem zobrazowania zasadniczej rozbieżności pomiędzy przypisanymi osobom skazanym przestępstwami a ustaleniami sądu. W ocenie Prokuratury dane te były przetwarzane w związku z realizacją jej ustawowych zadań, a zatem kwestia ta leży poza kompetencjami Prezesa UODO.

Ze stanowiskiem tym nie zgodził się Prezes UODO. W uzasadnieniu decyzji wskazał, że Prokuratura Krajowa mająca status podmiotu publicznego ma obowiązek działania na podstawie prawa i w jego granicach (art. 7 Konstytucji RP). Ujawnienie danych osobowych bez podstawy prawnej jest więc naruszeniem Konstytucji ale też reguły legalizmu z art. 5 RODO.

Prokuratora Krajowa może ujawnić informacje z trwającego postepowania przygotowawczego lub działalności prokuratury, jeżeli wymaga tego ważny interes publiczny. Nie dotyczy to jednak postępowania zakończonego.

W konsekwencji Prezes UODO nałożył na Prokuraturę Krajową karę 85 tys. zł. Poza tym nakazał Prokuraturze zawiadomienie osoby, której dane ujawniono, o naruszeniu. Organ nadzorczy wskazał też, jakie elementy zgodnie z art. 34 RODO powinna zawierać ta informacja.

• decyzja Prezesa UODO z 2 września 2024 r. DKN.5131.33.2023