Prezes Urzędu Ochrony Danych Osobowych (UODO) nałożył karę na Głównego Geodetę Kraju (GGK) – w wysokości 100 000 zł. Kwota ta robi wrażenie biorąc pod uwagę, że w przypadku tego typu podmiotów (jednostki sektora finansów publicznych) kara może sięgać maksymalnie właśnie takiej kwoty.
Pikanterii dodaje fakt, że jest to druga kara nałożona przez organ nadzorczy na GGK w przeciągu niespełna dwóch miesięcy i w obu przypadkach wysokość kary jest maksymalna. Z taką sytuacją mamy do czynienia po raz pierwszy. Obie kary związane są z funkcjonowaniem GEOPORTALU2, tj. aplikacji internetowej stworzonej i prowadzonej przez Główny Urząd Geodezji i Kartografii.
Powody ich nałożenia są jednak inne.
Spór trwa już długo
Spór pomiędzy UODO, a GGK trwa już dłuższy czas. Już w marcu br. informowaliśmy o sporym zamieszaniu wokół GEOPORTALU2. Przypomnijmy, GEOPORTAL2 to aplikacja umożliwiająca przeglądanie i wyszukiwanie określonych danych dotyczących nieruchomości. W założeniu jest ona bardzo użyteczna. Każdy może bowiem wyszukać na mapie interesującą go nieruchomość, a następnie zweryfikować podstawowe informacje na jej temat. Problem polega na tym, że w przypadku wielu nieruchomości dostępny jest także numer księgi wieczystej. Publiczne udostępnienie takiej informacji w Internecie wzbudziło wątpliwości UODO, który wszczął postępowanie w tej sprawie (szerzej pisaliśmy TUTAJ – https://gdpr.pl/aktualnosci/geoportal-pod-lupa-uodo). W kwietniu br. Prezes UODO wydał postanowienie, mocą którego zobowiązał GGK do ograniczenia przetwarzania danych osobowych w zakresie numerów ksiąg wieczystych oraz ich publikacji na portalu GEOPORTALU2, do czasu wydania decyzji administracyjnej kończącej postępowanie w sprawie.
Pierwsza kara
2 lipca br. Prezes UODO nałożył na GGK pierwszą karę – w wysokości 100 000 zł. W decyzji wskazał on, że GGK nie zapewnił w trakcie przeprowadzanej kontroli (ta prowadzona była w lutym br.) dostępu do pomieszczeń, sprzętu i środków służących do przetwarzania danych osobowych oraz dostępu do danych osobowych i informacji niezbędnych Prezesowi UODO do realizacji jego zadań. Organ nadzorczy zarzucił również GGK brak współpracy w trakcie tej kontroli.
Ostateczna decyzja w sprawie
Po przeprowadzeniu postępowania, Prezes UODO wydał 24 sierpnia br. decyzję w sprawie, w której stwierdził, że GGK udostępnił bez podstawy prawnej w GEOPORTALU2 dane osobowe w zakresie numerów ksiąg wieczystych pozyskanych z ewidencji gruntów i budynków (prowadzonej przez starostów). W efekcie organ nadzorczy nałożył na GGK kolejną karę pieniężną, i tym razem w maksymalnej możliwej wysokości (100 000 zł). Organ zobowiązał również GGK do usunięcia z GEOPORTALU2 danych osobowych w zakresie numerów ksiąg wieczystych.
Jak wynika z treści decyzji organ nadzorczy ustalił, że GGK publikuje informacje pozyskane z ewidencji gruntów i budynków (w tym numery ksiąg wieczystych) z 90 starostw powiatowych, które nie posiadają jeszcze własnej infrastruktury technicznej. Dane osobowe udostępniane są za pośrednictwem tego portalu przynajmniej od 2019 r. Regulator podkreślił w swoim rozstrzygnięciu, że GGK podczas postępowania nie wskazał przepisu prawa, który stanowiłby podstawę prawną jego działania. Jednocześnie żaden z przepisów regulujących kwestie związane z działalnością GGK nie daje mu możliwości publikowania w ramach GEOPORTAL2 danych pozyskanych ze starostw.
Prezes UODO zauważył w decyzji, że posiadanie numeru księgi wieczystej umożliwia łatwy i prosty dostęp do danych osób ujawnionych w księgach wieczystych (w tym do nr PESEL właściciela). Uzyskanie wglądu do danych osobowych zawartych w treści księgi wieczystej nie wymaga bowiem posiadania specjalnego systemu informatycznego ani uprawnień. Do tego – jak podkreślił Prezes UODO – wystarczy komputer podłączony do Internetu. Co więcej, GGK swoim działaniem umożliwił użytkownikom GEOPORTAL2 bezpośredni dostęp do zawartości ksiąg wieczystych, poprzez umieszczenie odnośników przekierowujących do elektronicznych ksiąg wieczystych. Użytkownik GEOPORTAL2 nie musiał nawet podawać numeru księgi wieczystej, by uzyskać wgląd do określonych informacji, a w tym do danych osobowych.
Co istotne, organ nadzorczy wskazał wprost w decyzji, że numer księgi wieczystej jest informacją, która pozwala w sposób pośredni zidentyfikować osobę fizyczną (tj. właściciela danej nieruchomości). Tym samym, numer księgi wieczystej stanowi daną osobową w rozumieniu art. 4 ust. 1 RODO.
Poważne naruszenie i brak współpracy z organem nadzorczym
Prezes UODO wyjaśnił w decyzji, że na wysokość kary wpłynęła waga i charakter naruszenia. Przedmiotowe naruszenie dotyczyło bardzo dużej liczby osób. Okoliczność tę potwierdził de facto również ukarany podmiot, który wskazał w uzasadnieniu odmowy przeprowadzenia kontroli, że sporna sytuacja dotyczyła co najmniej 90 starostw powiatowych.
Organ nadzorczy stwierdził dodatkowo, że GGK działał umyślnie. Decydując się na publikację w GEOPORTAL2 informacji o numerach ksiąg wieczystych GGK zdawał sobie bowiem sprawę, że w ocenie Prezesa UODO numer księgi wieczystej podlega przepisom o ochronie danych osobowych i jego przetwarzanie powinno być zgodne z tymi przepisami. Pomimo takiej wiedzy, GGK zdecydował się na publikację numerów ksiąg wieczystych w GEOPORTAL2.
Teraz sprawa prawdopodobnie trafi do Wojewódzkiego Sądu Administracyjnego (GGK zapowiedział zaskarżenie decyzji). Jesteśmy ciekawi jak sąd oceni stanowisko Prezesa UODO. Orzeczenie WSA powinno ostatecznie wyjaśnić, czy numer księgi wieczystej jest daną osobową, co rozwieje wątpliwości w tym zakresie na przyszłość Chociaż spory w doktrynie zapewne już pozostaną, bo taka jest specyfika niektórych zagadnień związanych z ochroną danych osobowych.
Pełna treść decyzji Prezesa UODO:
https://uodo.gov.pl/decyzje/DKN.5112.13.2020