Ta sprawa jest idealnym przykładem tego, jak w instytucjach publicznych dochodzi do naruszeń danych nie przez „hakera”, nie przez awarię systemu i nie przez wyciek z zewnątrz, ale przez coś znacznie bardziej prozaicznego: przez decyzję organizacyjną, presję czasu i brak procedur, które miałyby zatrzymać błąd zanim stanie się publiczny. Właśnie dlatego decyzja Prezesa UODO o nałożeniu łącznie 78 tys. zł kary na Komendanta Miejskiego Policji w Krakowie nie jest sprawą „wizerunkową”. To sprawa o tym, czy państwo potrafi chronić obywatela, gdy samo dysponuje najbardziej wrażliwymi informacjami na jego temat.
Prezes UODO jasno pokazuje, że problemem nie był sam fakt, że Policja chciała odpowiedzieć na reportaż medialny. Problemem było to, że odpowiedź została zbudowana w sposób, który wykorzystał wewnętrzne zasoby danych i przeniósł je do przestrzeni publicznej, ujawniając informacje, które nie były do tego potrzebne – w tym informacje szczególnej kategorii.
Spis treści
Naruszenie danych zaczyna się od braku procedur
Wiele naruszeń danych zaczyna się od zdania: „to był pośpiech i nieuwaga”. Tu również tak się stało – Komendant wskazał, że publikacja miała charakter niezamierzony i wynikała z pośpiechu pracowników komendy. Tyle że z punktu widzenia RODO takie tłumaczenie nie zamyka tematu, tylko go otwiera. Jeżeli naruszenie jest możliwe dlatego, że ktoś się spieszy, to znaczy, że organizacja dopuściła do sytuacji, w której pośpiech może uruchomić publikację danych wrażliwych. Krytycznie patrząc na tę sprawę: administratorem danych jest Komendant i to on odpowiada za to, aby procesy były tak poukładane, żeby „nieuwaga” nie zamieniała się w publiczny komunikat zawierający informacje o zdrowiu i leczeniu obywatelki.
Co policja ujawniła i dlaczego ten zakres był „toksyczny” informacyjnie
W materiałach UODO bardzo mocno wybrzmiewa, że komunikat prasowy nie ograniczał się do ogólnych faktów ani do neutralnej polemiki z reportażem. Znalazły się w nim informacje, które w praktyce powinny być objęte najwyższym reżimem ostrożności.
Chodziło o dane szczególnej kategorii i dane „okołozdrowotne”, które w połączeniu z identyfikacją osoby tworzą bardzo wrażliwy profil: informacje o stanie psychofizycznym i zachowaniu kobiety podczas interwencji, informacje o ocenach funkcjonariuszy na jej temat, informacje o stanie zdrowia i leczeniu – w tym o zdrowiu psychicznym, leczeniu psychiatrycznym, przyjmowanych środkach medycznych – a także dane dotyczące zdrowia reprodukcyjnego, sposobu zakupu środków medycznych oraz nawyków zdrowotnych wpływających na stan psychofizyczny. Do tego dochodziły elementy sugerujące podejrzenie naruszenia prawa.
W praktyce nie są to informacje „dla opinii publicznej”. To dane, które w razie ujawnienia mogą prowadzić do stygmatyzacji, nękania, eskalacji konfliktu społecznego, a nawet zagrożenia bezpieczeństwa. To właśnie to RODO nazywa ryzykiem naruszenia praw i wolności osoby fizycznej.
„Ona sama podała imię i wizerunek” - dlaczego to nie zamyka sprawy
UODO ustalił, że część informacji umożliwiających identyfikację kobiety pojawiła się wcześniej w reportażu telewizyjnym – i że to ona sama ujawniła tam imię oraz wizerunek. To jest dokładnie ten moment, w którym wiele instytucji popełnia błąd logiczny: skoro osoba „już się ujawniła”, to można o niej powiedzieć więcej.
Nie można.
To, że ktoś publicznie podał imię i twarz, nie oznacza, że instytucja publiczna może teraz „dopowiedzieć resztę”, sięgając do akt i systemów, i publikując informacje o stanie zdrowia, leczeniu, nawykach czy ocenach funkcjonariuszy. Różnica jest fundamentalna: jedno jest dobrowolną autoprezentacją, drugie jest użyciem władzy informacyjnej państwa.
To właśnie w tym miejscu UODO stawia granicę: policja nie odpowiadała wyłącznie na przekaz medialny, tylko wykorzystała dane z wewnętrznego systemu (SWD), aby wzmacniać swoje stanowisko. I to jest sedno problemu.
Poprawiony komunikat nie cofa skutków naruszenia
Policja po około godzinie zmodyfikowała treść komunikatu. Na pierwszy rzut oka można by uznać, że to szybka reakcja naprawcza. Tyle że z materiału UODO wynika, iż nawet po modyfikacji nadal ujawniano informacje o stanie zdrowia, leczeniu, środkach medycznych czy nawykach wpływających na stan psychofizyczny.
To jest ważne z dwóch powodów.
Po pierwsze, pokazuje, że problemem nie była „jedna omyłkowo wklejona linijka”, tylko brak świadomości, co w ogóle stanowi dane wrażliwe i co w komunikacie jest niedopuszczalne. Jeśli po „poprawce” nadal pozostają dane zdrowotne, to znaczy, że korekta była techniczna, a nie merytoryczna.
Po drugie, w internecie godzina to często wystarczająco dużo, aby treść została skopiowana, zarchiwizowana, rozesłana, zrzutowana na screenach i przetworzona dalej. W praktyce nie ma czegoś takiego jak pełne „cofnięcie” raz ujawnionych danych.
Naruszenie nie było „niezamierzone” w rozumieniu RODO
UODO wskazuje, że nie można uznać incydentu wyłącznie za efekt działań niezamierzonych. Policja ma prawo przetwarzać dane w SWD w ustawowo określonych celach. Problem polega na tym, że dane pozyskane w określonym celu zostały później udostępnione w komunikacie prasowym, czyli w innym celu, niż ten, dla którego je pierwotnie zebrano.
To jest sedno naruszenia: wykorzystanie danych operacyjnych do celu PR-owego, nawet jeśli PR był rozumiany jako „obrona wizerunku” po reportażu. RODO i polskie przepisy nie pozwalają traktować danych z systemów policyjnych jak magazynu argumentów do komunikacji publicznej.
Inaczej mówiąc: problemem nie było to, że Policja „coś powiedziała”. Problemem było to, że Policja powiedziała to, czego nie musiała i nie powinna mówić, opierając się na danych zgromadzonych dzięki swojej pozycji i uprawnieniom.
Dlaczego UODO podkreśla wagę analizy ryzyka
UODO wprost wskazuje, że incydent mógłby nie mieć miejsca, gdyby przeprowadzono analizę ryzyka, zidentyfikowano zagrożenia i wdrożono adekwatne środki techniczne oraz organizacyjne. W praktyce oznacza to, że w organizacji zabrakło „hamulców bezpieczeństwa”.
Co mogło być takim hamulcem?
Choć UODO nie opisuje narzędzi jeden do jednego, z samej logiki sprawy wynika, że wystarczyłyby podstawowe mechanizmy ochrony danych i zarządzania nimi: zasada minimalizacji w komunikacji, obowiązkowa weryfikacja komunikatu przez osobę kompetentną w ochronie danych, checklista danych wrażliwych, zakaz wprowadzania do komunikatów danych z SWD bez formalnego uzasadnienia, dwustopniowa akceptacja publikacji.
Jeżeli Zespół Prasowo-Informacyjny przetwarza dane bez uprzedniego uwzględnienia ryzyka, a środki organizacyjne nie są testowane i oceniane, to naruszenie nie jest kwestią „czy”, tylko „kiedy”.
Co ta sprawa mówi o instytucjach publicznych
Ta decyzja Prezesa UODO ma znaczenie szersze niż sama Policja. Pokazuje, że w instytucjach publicznych ryzyko naruszenia danych często bierze się z dwóch zjawisk jednocześnie: z dużej władzy nad informacją i z pokusy, by użyć tej informacji w komunikacji.
Tymczasem standard powinien być odwrotny: im więcej władzy nad danymi, tym ostrzejsze zasady minimalizacji. Komunikat prasowy może istnieć, ale nie może być oparty na wrażliwych detalach z systemów wewnętrznych. Państwo nie powinno „wygrywać narracji” kosztem prywatności obywatela.
Wnioski
Najważniejsza lekcja z tej sprawy jest bardzo praktyczna: analiza ryzyka i regularne testowanie zabezpieczeń to narzędzia, które mają chronić człowieka przed sytuacją, w której jego zdrowie psychiczne, leczenie czy decyzje dotyczące zdrowia reprodukcyjnego stają się elementem publicznej polemiki.
W tym sensie kara nałożona przez Prezesa UODO nie jest „karą za komunikat”. To konsekwencja tego, że komunikat stał się nośnikiem danych, które nie powinny nigdy trafić do przestrzeni publicznej, bo nie były do tego potrzebne.
Jeżeli instytucja publiczna chce zachować wiarygodność, musi umieć komunikować się z opinią publiczną w sposób odpowiedzialny. A odpowiedzialność zaczyna się tam, gdzie kończy się potrzeba „dopowiedzenia szczegółów” o człowieku, którego dane są w jej rękach.
