Wystąpienie Prezesa UODO – sygnał potrzeby pilnej korekty przepisów
Prezes UODO, wykonując uprawnienie wynikające z art. 52 ust. 2 ustawy z 10.5.2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r. poz. 1781), skierował do Ministra Sprawiedliwości wystąpienie, w którym zasygnalizował istotne ryzyka związane z obowiązującym stanem prawnym. Przedmiotem interwencji była procedura likwidacji depozytów niepodjętych przez osoby pozbawione wolności. Obecne mechanizmy prawne przewidują bowiem obowiązek publikowania ogłoszeń zawierających dane, które – bezpośrednio lub pośrednio – identyfikują osoby osadzone w aresztach lub zakładach karnych, co w świetle przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 2016 Nr 119, s. 1; dalej: RODO) stanowi nadmierną ingerencję w ich prywatność i może skutkować poważnymi naruszeniami zasady proporcjonalności przetwarzania danych osobowych.
Organy penitencjarne zobowiązane są do przeprowadzania procedur związanych z likwidacją niepodjętych depozytów zgodnie z ustawą z 18.10.2006 r. o likwidacji niepodjętych depozytów (Dz.U. z 2006 r. Nr 208 poz. 1537; dalej: LikwidNiepDepozU). W przypadku braku możliwości skutecznego doręczenia wezwania do odbioru depozytu osobie uprawnionej, przepisy zobowiązują przechowującą jednostkę do publikacji stosownego ogłoszenia, zarówno na tablicy ogłoszeń, jak i w dzienniku poczytnym lub Biuletynie Informacji Publicznej adekwatnym ze względu na lokalizację danej jednostki. Zdaniem Prezesa UODO taka procedura, stosowana wobec osób osadzonych, w sposób oczywisty prowadzi do ujawnienia okoliczności ich pobytu w jednostce penitencjarnej, a tym samym do przetwarzania szczególnej kategorii danych osobowych, tj. danych o wyrokach skazujących i czynach zabronionych, w rozumieniu art. 10 RODO.
Luka w systemie prawnym a status jednostek penitencjarnych
Obowiązujące przepisy: art. 79 § 2 KKW oraz rozporządzenie Ministra Sprawiedliwości z 8.12.2022 r. w sprawie prowadzenia depozytu przedmiotów wartościowych i środków pieniężnych osób pozbawionych wolności (Dz.U. z 2022 r. poz. 2673), określają jedynie zasady przekazywania depozytów przez osoby skazane, sposób ich przechowywania i zasady ich wydawania. Przepisy te nie regulują jednak kwestii likwidacji depozytów, które mimo upływu ustawowego terminu nie zostały odebrane. W takich przypadkach – co potwierdził Prezes UODO – jednostki penitencjarne stosują LikwidNiepDepozU przewidzianą dla podmiotów sektora finansów publicznych.
Nie budzi wątpliwości, iż areszty śledcze i zakłady karne należą do jednostek budżetowych i tym samym są adresatami przepisów wspomnianej ustawy. Jednakże zastosowanie tej regulacji w kontekście osadzonych, którzy nie są w stanie skutecznie odebrać swojego depozytu, często z przyczyn niezależnych od siebie, prowadzi do niezamierzonego efektu – upublicznienia danych osobowych o wrażliwym charakterze, które podlegają szczególnej ochronie prawnej na gruncie prawa unijnego. W związku z brakiem uregulowań szczególnych dostosowanych do realiów funkcjonowania jednostek penitencjarnych, stosowana jest procedura analogiczna do tej przewidzianej dla innych instytucji publicznych – a ta nie uwzględnia ani specyfiki sytuacji osób osadzonych, ani obowiązku zapewnienia im należytej ochrony prywatności.
Publiczne ogłoszenia a zasada minimalizacji danych
W ocenie Prezesa UODO podstawową wartością naruszaną przez obowiązujące procedury jest zasada minimalizacji danych, wyrażona w art. 5 ust. 1 lit. c RODO. Zgodnie z tą zasadą dane osobowe powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Tymczasem publikacja danych w Biuletynie Informacji Publicznej, z której wynika, iż dana osoba nie odebrała depozytu pozostawionego w jednostce penitencjarnej, jednoznacznie wskazuje na jej status osadzonego. Taka informacja – choćby jeżeli nie zawiera szczegółów wyroku – ujawnia istotny fakt z życia tej osoby, który powinien pozostawać objęty ochroną.
Należy podkreślić, iż dane ujawniane w toku takich ogłoszeń dotyczą nie tylko osób skazanych, ale także tymczasowo aresztowanych, wobec których nie zapadł jeszcze prawomocny wyrok. W rezultacie mechanizm upublicznienia informacji o nieodebranym depozycie może prowadzić do stygmatyzacji osoby, naruszenia jej dobrego imienia oraz negatywnych skutków zawodowych i społecznych. Tym bardziej zasadnym jest postulowanie, aby procedury te odbywały się w sposób niejawny i z zachowaniem szczególnych środków ochrony danych.
Wnioski Prezesa UODO i postulaty legislacyjne
Prezes Urzędu Ochrony Danych Osobowych, oceniając obowiązujące rozwiązania jako nieproporcjonalne, nieadekwatne oraz niezgodne z unijnymi standardami ochrony danych osobowych, zaproponował podjęcie prac legislacyjnych ukierunkowanych na opracowanie odrębnych regulacji dla jednostek penitencjarnych. Nowe przepisy powinny uwzględniać zarówno konieczność likwidacji niepodjętych depozytów, jak i obowiązek ochrony danych osobowych osób, które z różnych powodów nie odebrały pozostawionych środków pieniężnych lub przedmiotów wartościowych.
Zasadniczym celem postulowanych zmian jest wyeliminowanie praktyki upubliczniania danych identyfikujących osoby osadzone, niezależnie od tego, czy są to osoby skazane, czy tymczasowo pozbawione wolności. Zdaniem organu nadzorczego upublicznianie takich informacji nie jest niezbędne do osiągnięcia celu, jakim jest likwidacja depozytu. Alternatywą może być wprowadzenie procedur wewnętrznych przewidujących indywidualne zawiadamianie uprawnionych, bądź prowadzenie specjalnego rejestru dostępnego wyłącznie dla zainteresowanych stron.
Poprzednie działania nadzorcze i szerszy kontekst stosowania ustawy
W swoim wystąpieniu Prezes UODO przypomniał również, iż problematyka stosowania art. 6 ust. 5 LikwidNiepDepozU była już przedmiotem zainteresowania organu nadzorczego, jednak dotychczas dotyczyła głównie podmiotów leczniczych. Prezes Urzędu wystąpił w tej sprawie do Ministra Zdrowia, wskazując, iż również w tym kontekście publiczne ogłoszenia mogą prowadzić do ujawnienia informacji o stanie zdrowia pacjentów lub fakcie korzystania z usług danej placówki medycznej, co budzi poważne wątpliwości na gruncie art. 9 i 10 RODO (zob. pismo DOL.413.19.2022). Aktualne wystąpienie do Ministra Sprawiedliwości stanowi zatem rozwinięcie wcześniej sygnalizowanego problemu i jest kolejnym krokiem na rzecz zapewnienia jednolitej praktyki przetwarzania danych w sektorze publicznym.
Konkluzje i możliwy kierunek zmian
W świetle przedstawionych analiz należy uznać, iż obecne rozwiązania prawne w zakresie likwidacji niepodjętych depozytów przez osoby osadzone wymagają pilnej interwencji legislacyjnej. Procedura oparta na obowiązku publicznego ogłaszania informacji narusza podstawowe prawa jednostki, a w szczególności prawo do prywatności i ochrony danych osobowych. Niezbędne jest opracowanie rozwiązań, które z jednej strony zagwarantują skuteczność postępowań likwidacyjnych, a z drugiej zapewnią poszanowanie praw osób pozbawionych wolności.
Ewentualne prace legislacyjne, jeżeli zostaną zainicjowane przez Ministra Sprawiedliwości, mogą stanowić istotny krok w kierunku ucywilizowania procedur likwidacyjnych i ich dostosowania do wymagań RODO oraz standardów ochrony praw człowieka.