Co robić z danymi osobowymi utrwalonymi na zagubionych komputerach i telefonach?

Do UODO wpływają pytania od starostów dotyczące dalszego postępowania w przypadku przechowywanych przez nich rzeczy znalezionych, które zawierają w swoich zasobach dane osobowe. W takich urządzeniach mogą być przechowywane bardzo różne dane, nie tylko zwykłe, ale i te należące do szczególnych kategorii danych osobowych, dotyczące sfery prywatnej i intymnej. Nośniki mogą zawierać również informacje objęte tajemnicami prawnie chronionymi lub dotyczyć czynów zabronionych.

Jakie informacje należą do szczególnych kategorii danych osobowych?

Zgodnie z RODO o szczególnych kategoriach danych osobowych możemy mówić w przypadku informacji ujawniających:

• informacje o przekonaniach religijnych lub światopoglądowych,
  
• informacje o poglądach politycznych,
  
• dane o pochodzeniu rasowym lub etnicznym,
  
• dane dotyczące przynależności do związków zawodowych,
  
• dane genetyczne, biometryczne, dotyczące zdrowia, seksualności lub orientacji seksualnej.
  

Zgodnie z art. 12 ust. 1 ustawy z 20 lutego 2015 r. o rzeczach znalezionych, w kompetencji starostów leży prowadzenie postępowania w sprawach odbierania zawiadomień o znalezieniu rzeczy, przyjmowania i przechowania rzeczy znalezionych oraz poszukiwania osób uprawnionych do ich odbioru. Starosta ma więc obowiązek zabezpieczyć znalezione rzeczy. Ale w przepisach nie ma regulacji dotyczących zakresu odpowiedzialności starostów za dane osobowe zgromadzone w tych sprzętach. Starości nie mają więc jasnych wytycznych, czy wolno im ingerować w zawartość zagubionych nośników danych, na przykład po to, aby ustalić tożsamość właściciela i oddać mu sprzęt. Czy starości powinni zabezpieczyć, czy usuwać dane w przechowywanych sprzętach?

Obecnie starosta chcąc postępować zgodnie z przepisami Ustawy o rzeczach znalezionych, może jednocześnie łamać przepisy dotyczące RODO. Ustawa w określonych sytuacjach nakazuje bowiem staroście przekazanie sprzętu znalazcy. Zgodnie z art. 19 ust. 1 Ustawy, jeśli znaleziona rzecz nie zostanie odebrana przez osobę uprawnioną do jej odbioru (w ciągu roku od dnia doręczenia jej wezwania do odbioru, a w przypadku niemożności wezwania – w ciągu dwóch lat od dnia jej znalezienia¹), starosta zawiadamia o tym znalazcę oraz wzywa go do odbioru rzeczy w terminie nie krótszym niż 2 tygodnie. W przypadku nieodebrania rzeczy w tym terminie jej właścicielem staje się powiat. Taki tryb postępowania powoduje, że znalazca wchodzi w posiadanie danych osobowych znajdujących się w pamięci komputera czy telefonu. A działanie to może już naruszać określone w art. 5 RODO zasady: integralności i poufności, celowości, rzetelności, czy minimalizacji. Prezes UODO w swoim wystąpieniu uzasadnia, że nie wydaje się właściwym rozwiązaniem legalizowanie — poprzez działania starosty — pozyskiwania przez znalazcę rzeczy danych utraconych w sposób naruszający zasady przetwarzania danych osobowych, w tym ich bezpieczeństwa, integralności i poufności, a do tego może prowadzić stosownie przepisów ustawy o rzeczach znalezionych w aktualnym ich kształcie.

Prezes UODO uznał, że zagadnienie zgłoszone przez starostów wymaga analizy pod kątem rozważenia wprowadzenia odpowiednich regulacji prawnych, dlatego 1 lipca br. wystąpił do Ministra Spraw Wewnętrznych i Administracji z wnioskiem o uregulowanie w przepisach ustawy z 20 lutego 2015 r. o rzeczach znalezionych kwestii dotyczących odpowiedzialności za dane osobowe utrwalone w zagubionych nośnikach.

W ocenie Prezesa UODO "przepisy Ustawy o rzeczach znalezionych powinny zostać przeanalizowane pod kątem stosowania przepisów ogólnego rozporządzenia o ochronie danych celem wyeliminowania niepewności prawnej istniejącej zarówno po stronie zobowiązanych do przekazania rzeczy znalezionych zawierających dane osobowe, jak i po stronie znalazców pozyskujących wraz z rzeczą dane osobowe".

¹Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny, art. 187 Nabycie własności rzeczy znalezionej