Wezwanie za ujawnienie danych osobowych – jak odzyskać kontrolę nad swoją prywatnością

Czy ujawniona informacja jest daną osobową?

Art. 4 pkt 1 RODO obejmuje każdą informację dotyczącą zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Dane osobowe nie ograniczają się do imienia, nazwiska i numeru PESEL. Mogą nimi być również numer telefonu, adres e-mail, adres zamieszkania, lokalizacja, numer rachunku, identyfikator internetowy, zdjęcie, głos oraz informacje o sytuacji rodzinnej lub zawodowej, jeżeli pozwalają powiązać informację z konkretnym człowiekiem.

Znaczenie ma kontekst. Sam numer mieszkania bez wskazania budynku może nikogo nie identyfikować, lecz ten sam numer połączony z nazwiskiem, zdjęciem klatki i nazwą ulicy prowadzi już prosto do oznaczonej osoby. Nie trzeba przy tym, aby każdy odbiorca potrafił ustalić tożsamość bez żadnego wysiłku. Wystarczy realna możliwość identyfikacji przy użyciu dostępnych informacji.

RODO chroni dane osób fizycznych. Nazwa spółki, jej numer KRS i adres siedziby co do zasady nie są danymi osobowymi samej spółki, choć mogą jednocześnie identyfikować przedsiębiorcę prowadzącego jednoosobową działalność albo konkretną osobę reprezentującą firmę.

Dane zwykłe i dane szczególnej kategorii

Informacje dotyczące zdrowia, seksualności, orientacji seksualnej, pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych, przynależności związkowej, dane genetyczne oraz określone dane biometryczne należą do szczególnych kategorii z art. 9 RODO. Ich przetwarzanie jest co do zasady zabronione, chyba że zachodzi jeden z wyjątków wskazanych w rozporządzeniu.

Publikacja informacji o diagnozie, leczeniu psychiatrycznym, ciąży, niepełnosprawności albo wynikach badań wymaga więc bardziej rygorystycznej oceny niż podanie służbowego adresu e-mail. Nie oznacza to jednak, że zwykły adres zamieszkania lub prywatny numer telefonu można rozpowszechniać bez żadnych ograniczeń. Ryzyko dla bezpieczeństwa może być w takim przypadku równie realne.

Dane dostępne publicznie nie stają się niczyje

Fakt, że informację można znaleźć w CEIDG, na stronie firmy, w starym ogłoszeniu albo na publicznym profilu, nie oznacza zgody na każdy dalszy sposób użycia. Trzeba ocenić cel, zakres, podstawę prawną i rozsądne oczekiwania osoby, której dane dotyczą.

Służbowy numer opublikowany w celu przyjmowania zamówień może być używany przez klientów do kontaktu handlowego. Nie daje to automatycznie prawa do umieszczenia go w poście zachęcającym obce osoby do masowego wydzwaniania. Tak samo adres przedsiębiorcy widoczny w rejestrze nie powinien być przedstawiany jako zaproszenie do nachodzenia go w domu.

Czy każde ujawnienie danych narusza RODO?

Nie. To jeden z najważniejszych punktów całej sprawy. RODO nie opiera się wyłącznie na zgodzie. Przetwarzanie danych może być zgodne z prawem także na innej podstawie z art. 6 ust. 1 RODO, na przykład gdy jest niezbędne do wykonania umowy, realizacji obowiązku prawnego, ochrony żywotnych interesów, wykonania zadania publicznego albo realizacji prawnie uzasadnionego interesu administratora.

Dlatego zdanie „nie wyraziłem zgody” nie zawsze wystarczy. Pracodawca może przekazać dane do ZUS bez odrębnej zgody, sklep może użyć adresu do wysłania zamówienia, a strona postępowania może posługiwać się danymi w celu dochodzenia roszczeń. Każda z tych podstaw ma jednak granice. Legalne pozyskanie danych do jednego celu nie uprawnia do późniejszego publikowania ich w internetowej awanturze.

Wyjątek dla czynności osobistych i domowych

Art. 2 ust. 2 lit. c RODO wyłącza przetwarzanie wykonywane przez osobę fizyczną w ramach czynności czysto osobistych lub domowych. Prywatne przesłanie numeru członka rodziny drugiemu krewnemu może więc pozostawać poza zakresem RODO, zależnie od okoliczności.

Wyjątku nie należy jednak rozciągać na każdą aktywność osoby prywatnej. Umieszczenie cudzych danych na ogólnodostępnej stronie, w dużej grupie albo pod publicznym postem wychodzi poza typową sferę domową. W takich sytuacjach osoba fizyczna może sama stać się administratorem danych.

Nawet gdy RODO nie znajduje zastosowania z powodu wyjątku domowego, nadal mogą działać przepisy o ochronie prywatności i innych dóbr osobistych. Stwierdzenie „to była prywatna rozmowa” nie daje pełnej swobody w ujawnianiu adresu, stanu zdrowia albo intymnej korespondencji.

Wolność wypowiedzi, dziennikarstwo i dochodzenie roszczeń

Prawo do ochrony danych nie usuwa wolności wypowiedzi ani prawa do obrony swoich interesów. Ujawnienie danych może być w określonym zakresie uzasadnione działalnością dziennikarską, informowaniem o sprawie publicznej, obowiązkiem ustawowym lub potrzebą ustalenia, dochodzenia albo obrony roszczeń.

Nie jest to jednak zgoda na publikowanie wszystkiego, co autor posiada. Trzeba badać niezbędność i proporcjonalność. Osoba opisująca spór z wykonawcą może przedstawić przebieg usługi, lecz publikowanie prywatnego adresu jego dzieci albo dokumentacji medycznej trudno uzasadnić potrzebą ostrzeżenia konsumentów.

Doxxing, czyli publikacja danych w celu wywołania presji

Doxxingiem nazywa się publikowanie informacji pozwalających ustalić tożsamość lub miejsce pobytu osoby, często po to, aby narazić ją na nękanie, groźby, masowe telefony albo wizyty. Nie jest to odrębny typ przestępstwa pod nazwą „doxxing”, lecz zachowanie może naruszać RODO, dobra osobiste i prywatność, a w szerszym układzie także wypełniać znamiona innych czynów zabronionych.

Jeżeli ujawnienie danych jest częścią uporczywego nękania, zastosowanie może mieć art. 190a § 1 KK. Przepis obejmuje nękanie, które wzbudza uzasadnione poczucie zagrożenia, poniżenia lub udręczenia albo istotnie narusza prywatność. Za podstawowy typ stalkingu grozi kara od 6 miesięcy do 8 lat.

Gdy publikacja danych ma zastraszyć Cię, wymusić spotkanie albo skłonić do określonego działania, trzeba rozważyć również przepisy dotyczące gróźb i zmuszania. Pełny plan bezpieczeństwa opisujemy w poradniku stalking, jak się bronić i od czego zacząć.

Co zrobić natychmiast po ujawnieniu adresu lub numeru telefonu

Jeżeli publikacja zwiększa ryzyko wizyty pod domem, kradzieży tożsamości albo kontaktu z dzieckiem, samo napisanie wezwania może być zbyt wolne. Najpierw ogranicz skutki i zadbaj o bezpieczeństwo, a formalne żądania przygotuj równolegle.

1. Zabezpiecz wpis, komentarz, wiadomość lub plik, zanim zgłosisz go do usunięcia. Zachowaj profil autora, link, datę, godzinę i pełny kontekst publikacji.
2. Zgłoś treść platformie w kategorii dotyczącej prywatności, nękania, udostępnienia danych lub zagrożenia bezpieczeństwa. Zachowaj numer zgłoszenia i decyzję.
3. Jeżeli opublikowano adres, poinformuj domowników, recepcję, ochronę budynku lub zaufanego sąsiada. Nie udostępniaj publicznie informacji o tym, gdzie tymczasowo przebywasz.
4. Przy groźbie przyjazdu, nawoływaniu do ataku albo pojawieniu się obcych osób pod domem skontaktuj się z Policją. Nie czekaj na upływ terminu wyznaczonego w piśmie.
5. Zmień hasła, wyloguj nieznane urządzenia i włącz uwierzytelnianie dwuskładnikowe, jeżeli ujawnienie mogło nastąpić przez przejęte konto lub wspólną usługę chmurową.
6. Jeżeli opublikowano dokument, numer rachunku, PESEL albo dane umożliwiające podszywanie się, skontaktuj się z instytucją, której dokument dotyczy, i podejmij właściwe środki przeciwko wykorzystaniu tożsamości.
7. Nie wdawaj się w publiczną dyskusję o tym, czy dane są prawdziwe. Potwierdzając szczegóły, możesz niechcący zwiększyć ich wiarygodność i zasięg.

Gdy publikacja obejmuje także zdjęcie albo film, możesz równolegle skorzystać z poradnika o wykorzystaniu wizerunku bez zgody oraz osobnego wezwania do usunięcia wizerunku z filmu lub zdjęcia.

Jak udokumentować ujawnienie danych osobowych

W sprawach o prywatność nie wystarczy zachować samej informacji. Trzeba pokazać, kto ją ujawnił, komu, w jakim kontekście i przez jaki czas. Inaczej wygląda numer telefonu wysłany jednej osobie w celu umówienia dostawy, a inaczej ten sam numer umieszczony pod hasłem „dzwońcie do niego, aż zrozumie”.

1. Wykonaj pełne zrzuty ekranu z widoczną nazwą profilu, datą, treścią, nazwą grupy lub strony oraz komentarzami pokazującymi reakcję odbiorców.
2. Skopiuj bezpośredni link do publikacji i profilu. Przy relacji, transmisji albo materiale znikającym nagraj ekran podczas otwierania treści.
3. Zapisz wszystkie ujawnione dane dokładnie w takiej postaci, w jakiej je opublikowano. Nie przesyłaj ich jednak dalej osobom, które nie muszą ich znać.
4. Zabezpiecz kolejne wersje wpisu. Jeżeli autor po wezwaniu usuwa adres, lecz pozostawia numer telefonu albo wskazówki prowadzące do miejsca zamieszkania, zachowaj każdą zmianę.
5. Zapisz liczbę reakcji, komentarzy i udostępnień. Jeżeli odbiorcy powielają dane na innych profilach, dokumentuj każdą publikację oddzielnie.
6. Zachowaj niechciane połączenia, SMS-y, wizyty, wiadomości od obcych osób i próby logowania, które pojawiły się po ujawnieniu.
7. Przy ujawnieniu przez firmę zachowaj korespondencję, politykę prywatności, formularz, umowę i informację, w jakim celu dane zostały pierwotnie przekazane.
8. Jeżeli dane otrzymały konkretne osoby, poproś je o zachowanie wiadomości wraz z nagłówkiem, nadawcą, datą i załącznikami.
9. Dokumentuj szkodę i krzywdę: koszty zmiany numeru, zabezpieczeń, przeprowadzki, utracone zlecenia, leczenie oraz wpływ naruszenia na codzienne funkcjonowanie.

Nie wysyłaj do sprawcy kopii dowodu osobistego tylko po to, aby „udowodnić, że dane są Twoje”. Administrator może poprosić o informacje potrzebne do potwierdzenia tożsamości, jeżeli ma uzasadnione wątpliwości, ale zakres weryfikacji powinien być proporcjonalny do ryzyka.

Jeżeli ujawniono zrzuty prywatnej rozmowy, sprawdź również artykuł o sytuacji, gdy screenshoty prywatnych wiadomości zostały opublikowane bez zgody. Ogólne zasady utrwalania materiału opisujemy w poradniku jak udokumentować naruszenie.

Do kogo skierować żądanie usunięcia danych

Najpierw ustal, kto decyduje o celu i sposobie przetwarzania. W firmie będzie to zwykle przedsiębiorca, spółka, pracodawca, placówka medyczna albo urząd, nie przypadkowy pracownik, który technicznie opublikował plik. W mediach społecznościowych osobnym adresatem może być autor posta, administrator strony lub grupy oraz platforma.

Jeżeli dane ujawnił pracownik w ramach obowiązków służbowych, pismo skieruj do organizacji będącej administratorem danych, a kopię można przesłać inspektorowi ochrony danych. Nie ograniczaj się do żądania skierowanego do osoby, która kliknęła „wyślij”, jeżeli nie decydowała samodzielnie o przetwarzaniu.

Gdy sprawcą jest osoba prywatna publikująca dane na własnym profilu, wskaż ją jako autora naruszenia. Nawet jeśli spiera się ona o zastosowanie RODO, możesz oprzeć wezwanie również na ochronie prywatności z Kodeksu cywilnego.

Jeżeli nie znasz danych autora konta, zabezpiecz identyfikatory i zgłoś treść platformie. Sam pseudonim zwykle nie wystarczy do prawidłowego oznaczenia pozwanego w procesie cywilnym, a platforma nie musi ujawniać Ci danych użytkownika na podstawie zwykłej prywatnej prośby.

Co powinno zawierać wezwanie dotyczące danych osobowych

Dobre wezwanie nie powinno powtarzać ogólnego hasła „naruszyłeś RODO” w każdym akapicie. Opisz konkretne dane, sposób ujawnienia, datę, odbiorców, pierwotny cel ich pozyskania oraz przyczynę, dla której dalsze przetwarzanie jest bezprawne lub nadmierne.

Jeżeli RODO ma zastosowanie, możesz żądać informacji o podstawie prawnej, źródle danych i odbiorcach, którym zostały ujawnione. W zależności od sytuacji w grę wchodzą także sprostowanie, usunięcie, ograniczenie przetwarzania oraz sprzeciw.

Art. 17 RODO daje prawo do żądania usunięcia danych między innymi wtedy, gdy nie są już potrzebne, wycofano zgodę i nie istnieje inna podstawa, uwzględniono sprzeciw albo dane były przetwarzane niezgodnie z prawem. Prawo to nie jest jednak bezwzględne. Administrator może zachować dane, jeżeli są niezbędne na przykład do wykonania obowiązku prawnego, korzystania z wolności wypowiedzi lub ustalenia, dochodzenia i obrony roszczeń.

Zażądaj usunięcia danych z konkretnych postów, dokumentów, stron, wiadomości i publicznych katalogów pozostających pod kontrolą adresata. Możesz również domagać się zaprzestania dalszego udostępniania, poinformowania odbiorców o usunięciu lub sprostowaniu oraz pisemnego wskazania wykonanych działań.

Jeżeli dane zostały opublikowane w Internecie, wskaż wszystkie znane adresy i kopie. Nie żądaj od autora niemożliwego zagwarantowania, że żadna osoba nigdy nie zachowała zrzutu, lecz domagaj się usunięcia materiałów pozostających pod jego kontrolą i podjęcia rozsądnych kroków wobec dalszych odbiorców.

Na odpowiedź dotyczącą praw z RODO administrator ma co do zasady miesiąc, choć w skomplikowanej sprawie termin może zostać przedłużony po przekazaniu wymaganej informacji. Nie oznacza to, że publikacja prywatnego adresu powinna pozostawać dostępna przez cały miesiąc. W wezwaniu możesz zażądać natychmiastowego wyłączenia publicznego dostępu, a ustawowy termin pozostawić na pełną odpowiedź i rozliczenie pozostałych żądań.

Skarga do Prezesa UODO

Jeżeli przetwarzanie podlega RODO, możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Wcześniejsze zwrócenie się do administratora pozwala przedstawić organowi treść żądania, odpowiedź albo brak reakcji. Nie jest jednak rozsądne czekanie na korespondencję, gdy publikacja tworzy bezpośrednie zagrożenie dla bezpieczeństwa.

W skardze oznacz administratora, opisz naruszenie, wskaż dane, daty i miejsce publikacji oraz dołącz dowody. Napisz także, czego domagasz się w postępowaniu, na przykład nakazania usunięcia danych, ograniczenia ich przetwarzania, przekazania informacji albo przywrócenia zgodności z prawem.

Prezes UODO może korzystać z uprawnień naprawczych i nakładać administracyjne kary pieniężne, ale kara nie jest wypłacana osobie pokrzywdzonej. Jeżeli oczekujesz rekompensaty finansowej, potrzebna jest odrębna podstawa roszczenia przed sądem.

Nie da się uczciwie przewidzieć, że postępowanie potrwa kilka miesięcy albo dokładnie rok. Czas zależy od kompletności skargi, zakresu materiału, wyjaśnień administratora i złożoności sprawy. Nie wpisuj do wezwania konkretnej wysokości przyszłej kary UODO, ponieważ organ sam ocenia przesłanki i wymiar sankcji.

Jeżeli dane wyciekły z firmy lub instytucji

Przypadkowe wysłanie dokumentu niewłaściwemu odbiorcy, publiczne udostępnienie arkusza albo przejęcie systemu może stanowić naruszenie ochrony danych. Administrator powinien ocenić ryzyko i w odpowiednich przypadkach zgłosić naruszenie organowi nadzorczemu, a przy wysokim ryzyku także zawiadomić osoby, których dane dotyczą.

W piśmie możesz zapytać, jakie dane ujawniono, ilu odbiorców je otrzymało, kiedy wykryto incydent, jakie środki ograniczające zastosowano oraz czy dokonano wymaganych zgłoszeń. Nie każde naruszenie bezpieczeństwa podlega zawiadomieniu osoby, ale administrator powinien potrafić wyjaśnić swoją ocenę ryzyka.

Pozew o ochronę prywatności i roszczenie z RODO

Art. 23 i 24 Kodeksu cywilnego pozwalają chronić prywatność, cześć, nazwisko, wizerunek, tajemnicę korespondencji i inne dobra osobiste. Możesz żądać zaniechania zagrożenia lub naruszenia, usunięcia skutków i złożenia odpowiedniego oświadczenia.

Art. 448 KC pozwala sądowi przyznać odpowiednią sumę tytułem zadośćuczynienia za krzywdę albo zasądzić kwotę na wskazany cel społeczny. Znaczenie mają rodzaj danych, liczba odbiorców, czas dostępności, cel działania, ryzyko dla bezpieczeństwa, zachowanie sprawcy po wezwaniu i rzeczywiste skutki dla pokrzywdzonego.

Art. 82 RODO przewiduje prawo do odszkodowania za szkodę majątkową lub niemajątkową wynikłą z naruszenia rozporządzenia. Sama niezgodność z RODO nie tworzy jednak automatycznie prawa do dowolnej kwoty. Trzeba wykazać naruszenie, szkodę lub krzywdę oraz związek między nimi.

Koszt zmiany numeru, ochrony mieszkania, leczenia, utraconego kontraktu albo naprawienia skutków kradzieży tożsamości może mieć charakter majątkowy. Lęk, utrata poczucia bezpieczeństwa i naruszenie prywatności należą do skutków niemajątkowych, ale również powinny zostać konkretnie opisane i udokumentowane.

Przedawnienie zależy od rodzaju żądania

Nie można twierdzić, że wszystkie roszczenia za ujawnienie danych przedawniają się po trzech latach. Niemajątkowe żądania ochrony dóbr osobistych, takie jak zaniechanie i usunięcie skutków, co do zasady nie ulegają przedawnieniu. Roszczenia pieniężne są majątkowe i podlegają terminom właściwym dla ich podstawy.

Skarga do UODO także nie powinna być odkładana bez potrzeby. Nawet jeżeli nie działa prosty termin liczony od dnia publikacji, upływ czasu utrudnia ustalenie odbiorców, zabezpieczenie logów i wykazanie aktualnego naruszenia.

Kiedy ujawnienie danych może być przestępstwem

Art. 107 ustawy o ochronie danych osobowych przewiduje odpowiedzialność osoby, która przetwarza dane, choć przetwarzanie nie jest dopuszczalne albo nie jest do niego uprawniona. Typ podstawowy jest zagrożony grzywną, ograniczeniem wolności albo pozbawieniem wolności do 2 lat.

Jeżeli czyn dotyczy szczególnych kategorii danych, między innymi zdrowia, seksualności, orientacji seksualnej, danych genetycznych lub określonych danych biometrycznych, górna granica pozbawienia wolności wynosi 3 lata.

Nie każde cywilne naruszenie prywatności automatycznie wypełnia art. 107. Trzeba ustalić zastosowanie przepisów o ochronie danych, brak dopuszczalności albo uprawnienia do przetwarzania oraz pozostałe znamiona odpowiedzialności karnej.

Jeżeli ujawnienie danych łączy się z nękaniem, groźbami, podszywaniem się lub oszustwem, zawiadomienie powinno opisywać cały mechanizm, a nie wyłącznie samą publikację numeru. Wezwanie nie jest warunkiem zgłoszenia przestępstwa i nie powinno poprzedzać interwencji w sytuacji bezpośredniego zagrożenia.

Czego możesz oczekiwać po wysłaniu wezwania

Bądźmy szczerzy: usunięcie posta nie cofnie każdego zrzutu i nie sprawi, że odbiorcy zapomną poznany adres. Dobrze przygotowane pismo może jednak zatrzymać dalsze rozpowszechnianie, wymusić uporządkowaną odpowiedź i stworzyć materiał pokazujący, że adresat wiedział o naruszeniu oraz jego skutkach.

Adresat może usunąć dane, ograniczyć dostęp, poinformować odbiorców, przedstawić podstawę prawną albo odmówić wykonania części żądań. Nie każda odmowa oznacza lekceważenie. Jeżeli firma musi przechowywać dane księgowe albo dokumentację potrzebną do obrony roszczeń, może odmówić całkowitego usunięcia, ale niekoniecznie dalszej publicznej publikacji.

Po usunięciu sprawdź, czy dane nie pozostały w innych postach, komentarzach, kopiach strony i wynikach wyszukiwania. Wysyłaj kolejne żądania tylko do podmiotów, które rzeczywiście kontrolują daną kopię. Autor pierwotnego wpisu nie zawsze ma techniczną możliwość usunięcia materiału skopiowanego przez niezależną osobę.

Nie istnieje wiarygodna statystyka pozwalająca obiecać, że większość spraw kończy się po pierwszym piśmie. Nie da się także z góry wskazać czasu postępowania przed UODO albo sądem. Wynik zależy od rodzaju danych, liczby odbiorców, podstawy przetwarzania, bezpieczeństwa pokrzywdzonego i jakości dokumentacji.

Jeżeli dojdzie do ugody, wpisz do niej dokładny zakres usunięcia, listę kanałów, sposób powiadomienia odbiorców, zakaz dalszego rozpowszechniania, termin zapłaty i działania na wypadek ponownego naruszenia. Ogólne zapewnienie „więcej tego nie zrobię” jest trudne do oceny i egzekwowania.

Gotowy wzór pozwala opisać ujawnione dane, naruszenie prywatności, żądanie usunięcia materiałów i dalsze kroki bez budowania pisma od pustej strony.