Wezwanie do trwałego usunięcia danych osobowych

Otrzymałem wiadomość:

Dzień dobry,
w załączeniu przesyłam wezwanie do trwałego usunięcia danych osobowych.

Pozdrawiam
Maciej Zdancewicz

Do wiadomości dołączono wezwanie oraz przygotowany przez Urząd wzór oświadczenia, które miałbym podpisać.

Zauważyliście, że nawet adres Urzędu prezentuje się teraz jakoś dostojniej?

Urząd Gminy Płaska
ul. Generała Ignacego Prądzyńskiego 53 Płaska
16-326 Płaska

Każdy wers kończy się dokładnie tak samo. Haiku to raczej nie jest, bo liczba sylab się nie zgadza. Pozostaje więc litania:

Płaska na początku,
Płaska przy ulicy,
Płaska w kodzie pocztowym.

Od wadliwej anonimizacji — zachowaj nas, Płaska.
Od trzydniowych terminów bez podstawy prawnej — zachowaj nas, Płaska.
Od oświadczeń podsuwanych do podpisu — zachowaj nas, Płaska.

Jeszcze jedna „Płaska” i pismo uzyskałoby status utworu poetyckiego. Podstawy prawnej nadal by jednak nie miało.

Na tym konkretnym przykładzie pokażę, jak Urząd próbuje przenieść uwagę z własnego naruszenia na osobę, która ten błąd zauważyła. Pokażę również, czego nie należy podpisywać bez dokładnego przeczytania i sprawdzenia podstawy prawnej.

Pismo wygląda groźnie. Są wezwania, trzydniowy termin, RODO i zapowiedź odpowiedzialności cywilnej.

Czy z pisma wynika, że jest ono wiążącym nakazem opartym na konkretnym przepisie?
Nie. Zero podstawy wskazanej w piśmie. Null. Nada. Niente. Nichts.

Jako prośba o ograniczenie skutków naruszenia ma znaczenie. Jako pisemne przyznanie, że Urząd ujawnił dane wskutek wadliwej anonimizacji — ma znaczenie ogromne.

Kto odpowiada za naruszenie?

Zgodnie z informacją przekazaną przez Urząd administratorem danych jest Wójt Gminy Płaska. To administrator odpowiada za prawidłowe zabezpieczenie dokumentów przed ich wysłaniem, przeprowadzenie anonimizacji, zarejestrowanie naruszenia, ocenę ryzyka oraz podjęcie decyzji, czy sprawę należy zgłosić Prezesowi UODO i powiadomić osoby, których dane dotyczą.

Pracownik wysyłający dokumenty działa w ramach organizacji administratora. Odpowiedzialności administratora nie można przenieść na odbiorcę przez przesłanie mu gotowego oświadczenia do podpisania.

Jest również człowiek, którego dane ujawniono. To on jest rzeczywiście poszkodowany przez niedbałość Urzędu.

Urząd może działać tylko na podstawie prawa

Zgodnie z art. 7 Konstytucji RP organy władzy publicznej działają na podstawie i w granicach prawa.

Jeżeli Urząd mnie „wzywa”, powinien wskazać przepis, z którego wynikają:

• obowiązek usunięcia całej wiadomości wraz z załącznikami;
• obowiązek podpisania przygotowanego przez Urząd oświadczenia;
• termin dokładnie trzech dni;
• kompetencja Sekretarza do wydania mi wiążącego polecenia;
• zapowiadane wobec mnie konsekwencje.

W piśmie takiej podstawy nie podano. Znajduje się jedynie ogólne odwołanie do RODO.

Urząd może zwrócić się do mnie o usunięcie omyłkowo ujawnionych danych. Jest to rozsądne działanie ograniczające skutki naruszenia. Nie oznacza to jednak, że może narzucić mi dowolny termin, treść oświadczenia i obowiązek usunięcia całego materiału dowodowego.

Dlaczego trzy dni? Dlaczego nie siedem, jeden albo czternaście? Z pisma się tego nie dowiemy.

Co Urząd przyznał?

Urząd Gminy Płaska potwierdził na piśmie, że 2 października przekazał mi dokumenty, w których anonimizacja była wadliwa. Widoczne pozostały dane osób trzecich, między innymi imię, nazwisko i adres zamieszkania.

Otrzymałem dokumenty, o które wnioskowałem, ale wraz z danymi, o które nie prosiłem i których nie powinienem otrzymać.

Czego żąda Urząd?

W ciągu trzech dni miałbym:

• trwale usunąć wszystkie kopie otrzymanych danych;
• skasować wiadomość e-mail wraz z załącznikami, również z kosza;
• nie wykorzystywać, nie kopiować ani nie ujawniać danych;
• podpisać oświadczenie potwierdzające wykonanie tych czynności.

Jednocześnie Urząd ostrzega mnie przed odpowiedzialnością za dalsze przetwarzanie danych.

Który kosz, Panie Sekretarzu?

W wezwaniu polecono mi usunąć wiadomość również z folderów „Kosz” i „Elementy usunięte”. Tylko z którego kosza?

Czy mam usunąć ją:

• z kosza w skrzynce e-mail;
• z kosza na komputerze;
• z telefonu i jego pamięci podręcznej;
• z programu pocztowego;
• z dysku sieciowego;
• z serwera pocztowego;
• z automatycznych kopii zapasowych?
• z kosza przy moim biurku

A co, jeżeli poczta działa w trybie synchronizacji i kopie znajdują się jednocześnie na komputerze, telefonie oraz serwerze? Co z kopiami bezpieczeństwa wykonywanymi automatycznie przez operatora, do których użytkownik nie ma dostępu i których nie może samodzielnie usunąć?

Skoro Urząd żąda ode mnie pisemnego potwierdzenia trwałego usunięcia wszelkich kopii, powinien dokładnie określić zakres tego żądania oraz technicznie wykonalny sposób jego realizacji. W przeciwnym razie miałbym podpisać oświadczenie dotyczące również miejsc, nad którymi nie mam kontroli.

Jeżeli do każdego urządzenia i każdego kosza potrzebna jest osobna procedura, proszę o instrukcję. Najlepiej przygotowaną staranniej niż anonimizacja dokumentów, od której rozpoczęła się cała sprawa.

Czego Urząd nie wyjaśnił?

Nie podano:

• konkretnej podstawy prawnej trzydniowego terminu;
• podstawy żądania podpisania przygotowanego oświadczenia;
• potwierdzenia, czy i kiedy naruszenie zostało zarejestrowane;
• daty stwierdzenia naruszenia;
• wyniku oceny ryzyka;
• informacji, czy sprawę przekazano Inspektorowi Ochrony Danych;
• informacji, czy naruszenie zgłoszono Prezesowi UODO;
• informacji, czy powiadomiono osobę, której dane ujawniono;
• wyjaśnienia, dlaczego mam usunąć również materiał dowodowy;
• prawidłowo zanonimizowanych kopii dokumentów.

Nie wskazano również charakteru prawnego pisma: czy jest ono jedynie prośbą w ramach działań zaradczych, czy Urząd rzeczywiście przypisuje mu moc wiążącego nakazu.

Nie opublikuję danych, ale nie zniszczę dowodu

Nie zamierzam ujawnionych danych publikować ani przekazywać osobom postronnym. Zresztą najlepszym dowodem mojego odpowiedzialnego podejścia było natychmiastowe zawiadomienie Urzędu, że doszło do naruszenia ochrony danych. Zbędne kopie zostaną usunięte.

Jedną kopię pierwotnie otrzymanego materiału zabezpieczę w sposób uniemożliwiający dostęp osobom postronnym, wyłącznie jako dowód naruszenia na potrzeby postępowania przed Prezesem UODO albo ochrony swoich praw. Nie będę wykorzystywał zawartych w niej danych do żadnego innego celu. Po zakończeniu sprawy ocenię konieczność jej dalszego przechowywania.

Żądanie skasowania całej wiadomości jest zbyt szerokie. E-mail zawiera nie tylko dane osobowe, lecz również dowód:

• kiedy doszło do zdarzenia;
• kto przesłał dokumenty;
• jakie pliki zostały udostępnione;
• w jakiej postaci dane do mnie trafiły.

Nie podpiszę przygotowanego przez Urząd oświadczenia, jeżeli jego treść może sugerować przejęcie przeze mnie odpowiedzialności za skutki błędu popełnionego przez administratora.

Odwracanie kota ogonem

Urząd popełnił błąd. Ja go zauważyłem i poinformowałem o nim Urząd.

Teraz najpilniejszym działaniem okazuje się nie przedstawienie dokumentacji naruszenia, wyniku oceny ryzyka ani informacji o działaniach IOD, lecz uzyskanie ode mnie podpisu, że wszystkie kopie zostały usunięte.

Panie Sekretarzu, usunięcie wiadomości z mojego komputera nie usunie naruszenia z rejestru administratora. A przynajmniej nie powinno.

Zauważyłem naruszenie. I sprawy nie odpuszczę

W odpowiedzi nie otrzymałem pełnej informacji o zarejestrowaniu naruszenia, ocenie ryzyka i działaniach Inspektora Ochrony Danych. Otrzymałem za to „wezwanie”, trzydniowy termin, gotowe oświadczenie do podpisania i ostrzeżenie przed odpowiedzialnością.

Najwyraźniej ktoś liczył, że przestraszę się urzędowego papieru, schowam do norki i będę tam cicho płakał.

Niestety mam złą wiadomość.

Normę płaczu nad Gminą Płaska wyczerpałem już około lutego. Norki nie posiadam. Bać się nie zamierzam. Sprawy również nie odpuszczę.

Logika tego wezwania przypomina sytuację, w której hydraulik zalewa nam mieszkanie, a następnie przysyła pismo:

„Wzywam do wytarcia wody w ciągu trzech dni, usunięcia mokrych zdjęć oraz podpisania oświadczenia, że podłoga jest sucha. Dalsze przechowywanie wilgoci może skutkować odpowiedzialnością”.

Kochani, kiedy zauważycie błąd urzędu, nie pozwólcie wmówić sobie, że samo zwrócenie na niego uwagi czyni Was współodpowiedzialnymi.

Ujawniłem konkretny błąd Urzędu: wadliwą anonimizację, której skutkiem było przekazanie mi danych osoby trzeciej. Zwróciłem na to uwagę, aby ograniczyć skutki naruszenia i ochronić człowieka, którego dane ujawniono.

Za pierwotne naruszenie odpowiada administrator, który ujawnił dane. Odbiorca odpowiada za swoje późniejsze działania — dlatego danych nie opublikuję ani nikomu nie przekażę Urząd nie wykazał jednak, abym miał obowiązek bezrefleksyjnie zniszczyć jedyny materiał dokumentujący jego błąd. Moim obowiązkiem jest nie zwiększać skutków naruszenia — nie zaś usuwać dowodów i podpisywać wszystko, co zostanie mi podsunięte.