W ubiegłym tygodniu Dziennik Internautów informował o umorzeniu postępowania przeciw mieszkańcowi Nakła n. Notecią, którego PKO BP oskarżył o złamanie zabezpieczeń i próbę szantażu. Mężczyzna, korzystając z wyszukiwarki Google, przypadkowo znalazł plik, który według słów przedstawiciela banku "został zabezpieczony w tak zwanym głębokim ukryciu".

Czytaj więcej: Lepiej nie otwierać "głęboko ukrytych" plików PKO BP

Małgorzata Kałużyńska-Jasak, Dyrektor Zespołu Rzecznika Prasowego GIODO, tłumaczy, że opisaną przez nas sprawę należy rozpatrywać w dwóch aspektach:

• istnienia podstaw prawnych uprawniających do upublicznienia danych osobowych,
• stosowania odpowiednich zabezpieczeń, by dane osobowe nie dostały się w ręce osób nieupoważnionych.

Zgodnie z ustawą o ochronie danych osobowych każdy administrator takich danych, wykonując na nich jakiekolwiek operacje, czyli przetwarzając je, powinien wskazać podstawę prawną uprawniającą go do określonych działań. W przypadku danych zwykłych, takich jak np. imię, nazwisko czy numer PESEL, taką podstawą mogą być szczególny przepis prawa lub zgoda osoby, której dane dotyczą. Jeśli więc administrator danych (w tym przypadku bank) upublicznił czyjeś dane osobowe, powinien wskazać, jaka przesłanka go do tego uprawniała - wyjaśnia przedstawicielka GIODO.

Jeśli natomiast administrator danych osobowych nie jest uprawniony do ich upublicznienia, to powinien tak zabezpieczyć przetwarzane dane, aby nie dostały się one w ręce osób nieupoważnionych. Według słów Małgorzaty Kałużyńskiej-Jasak do zapewnienia odpowiedniej ochrony przetwarzanych danych administratora zobowiązują przepisy rozdziału V ustawy o ochronie danych osobowych oraz akty wykonawcze do niej, m.in. rozporządzenie ministra spraw wewnętrznych i administracji odnoszące się do zabezpieczania danych osobowych przetwarzanych w systemach informatycznych.

Generalny Inspektor Ochrony Danych Osobowych nie weźmie jednak pod lupę PKO BP. Jak tłumaczy rzeczniczka GIODO, ze względu na usunięcie przez bank danych osobowych z sieci prowadzenie postępowania w tej sprawie byłoby bezprzedmiotowe, gdyż i tak musiałoby zakończyć się wydaniem decyzji umarzającej. Stosownie bowiem do art. 105 § 1 Kodeksu postępowania administracyjnego, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje decyzję o jego umorzeniu.

Dlatego właśnie GIODO zdecydował się nie analizować w postępowaniu wyjaśniającym kwestii zgodności upublicznienia danych przez PKO BP z przepisami ustawy o ochronie danych osobowych.