Полският надзорен орган санкционира за втори път администратора
На 9 януари стана известно, че председателят на Службата за защита на личните данни (UODO) Мирослав Врублевски, е наложил обща глоба от 78 000 злоти на командира на общинската полиция в Краков за разкриване в прессъобщение на данните на жена и за това, че не е упражнил надлежен надзор върху обработката на лични данни. И преди съм писала за подобна защитна реакция на полицията – британските им колеги също дават изявления, за да обяснят действията си, като коментират чувствителни лични данни, включително здравословното състояние на жена.
В случая с разкриването на данните на жената, UODO вече е санкционирал началника на полицията в друго производство, образувано след жалба от субект на данни. В сайта на надзорния орган пише, че полицията не може да оправдае разкриването на лични данни единствено с основанието, че има право да ги получи по време на текущо производство.
В случая с командира на общинската полиция в Краков, председателят на UODO е разследвал и как е възникнал самият инцидент.
Командирът на градската полиция, администраторът на данни, е информирал UODO за инцидента. При докладването на нарушението на сигурността на личните данни той е действал в съответствие със стандартите за поведение, посочени в GDPR.
Председателят на UODO поискал допълнителни обяснения и след това започва служебно производство.
В хода на разследването UODO установява, че информацията, позволяваща идентифицирането на жената, всъщност е била разкрита за първи път в репортаж, излъчен по националната телевизия, където самата тя е споделила името и изображението си.
Прессъобщението на полицията, в което се очертава позицията ѝ по въпроса, обаче включва допълнителна информация за хода на инцидента, включително специални категории лични данни. Това включва информация за психофизическото състояние и поведение на лицето по време на полицейската интервенция, информация за оценките на лицето от трети страни (полицейски служители), информация за здравето и лечението на лицето, включително психично здраве, психиатрично лечение, медицински консумативи, репродуктивно здраве, начин на закупуване на медицински консумативи и здравословни навици, влияещи върху психофизичното състояние на лицето, както и информация за предполагаеми нарушения на закона, включително деяния, които могат да представляват престъпления.
След един час полицията променя съдържанието на споделеното съобщение. То обаче все още съдържаше лични данни, макар и в ограничен обхват. Съобщението продължи да предоставя информация за здравето, включително психично здраве, напредък на лечението, приемани лекарства, начин на закупуване на лекарства и здравословни навици, които влияят на психичното и физическото здраве.
Командирът на общинската полиция научил за нарушението на личните данни от адвоката на жената и впоследствие уведомил UODO. Той заявил, че публикацията е била неволна и е резултат от „прибързаност и невнимание от страна на служителите на Общинското полицейско управление“. Те получили личните данни на жената от Systemu Wspomagania Dowodzenia Policji (SWD), Система за поддръжка на полицейското командване. Той също така признал, че нарушението на личните данни е могло да представлява висок риск от нарушаване на правата и свободите на субект на данни. За да се сведат до минимум негативните последици, командирът разпоредил съобщението да бъде премахнато от уебсайта. В съответствие със закона, командирът уведомил и лицето, засегнато от нарушението.
Командирът, като администратор, е бил задължен да спазва принципите и правилата, уреждащи обработката на лични данни. Въпреки това, както е видно от разследването, проведено от UODO, екипът за преса и информация на полицията е обработвал лични данни без предварително разглеждане на риска за правата и свободите на физическите лица. Освен това, използваните технически и организационни мерки не са били редовно тествани и актуализирани, а тяхната ефективност не е била систематично оценявана. В резултат на това, въведените мерки са се оказали неефективни, което е довело до нарушение на сигурността на личните данни.
Инцидентът също не може да се счита за неумишлен. Полицията има право да обработва данни в рамките на SWD за законово определени цели. Личните данни, първоначално събрани в рамките на определения от закона обхват, обаче впоследствие са предоставени в прессъобщение, изразяващо позицията на командира относно телевизионен репортаж, следователно за цел, различна от тази, за която първоначално са били събрани.
Същността на този случай е използването от страна на командира на вътрешни ресурси за разкриване на лични данни, които преди това не са били публично достъпни и чието разкриване не е било необходимо за постигане на целите, по-специално за изпълнение на законоустановените полицейски задължения. До нарушението на сигурността на личните данни води използването и разкриването на излишна, особено чувствителна информация за идентифицируемо лице, а не самият акт на комуникация с обществеността.
Инцидентът е можело да бъде предотвратен, ако командирът беше извършил анализ на риска, беше идентифицирал заплахи и беше внедрил подходящи технически и организационни мерки, пише UODO. Така лице, чиито лични данни, включително чувствителни, са били предоставени в публично достъпна комуникация, не би се оказало в потенциално опасна ситуация в резултат на инцидента, който е застрашил неговата сигурност и правото на личен живот.