Wyciek danych z warszawskiego ratusza

Jak napisano w komunikacie z dnia 21 czerwca „incydent bezpieczeństwa polegał na tym, że system informatyczny działał nieprawidłowo i wygenerował zestawienie, w którym znalazły się niepotrzebne, nadmiarowe informacje – numery ksiąg wieczystych”.

Taka sytuacja miała miejsce 27 maja oraz 2, 7 i 9 czerwca 2021 r. Rejestry z danymi osobowymi zostały wysłane do czterech odbiorców. W załączniku widnieje ponad tysiąc adresów ze wszystkich warszawskich dzielnic, których dotyczy zdarzenie.

Ratusz informuje, że „natychmiast po odkryciu błędu, wysłaliśmy do nieuprawnionych odbiorców prośbę, by usunęli wykazy”. Odbiorcy zostali również zobowiązani do zachowania poufności danych, które do nich dotarły. Nie mogą udostępniać ich innym. Zostali też pouczeni o konsekwencjach prawnych związanych z nieuprawnionym przetwarzaniem i wykorzystywaniem danych osobowych.

W przekazanych danych były numery ksiąg wieczystych. Znając ten numer można poznać dane osobowe właściciela np. imię, nazwisko, imiona rodziców czy numer PESEL.

Jak informują urzędnicy, na razie nie trafiły do nich żadne informacje o wykorzystaniu lub upublicznieniu przesłanych danych. Zachęcają jednak do “podjęcia działań zabezpieczających przed ewentualnym nieuczciwym wykorzystaniem danych”. Można to zrobić wykorzystując system informacji kredytowej, by sprawdzić czy ktoś nie próbuje wziąć kredytu wykorzystując nielegalnie zdobyte dane osobowe. Ratusz prosi też wszystkich, którzy dowiedzą się o takiej sytuacji aby natychmiast poinformowali o tym policję.

11 czerwca 2021 r. o zdarzeniu został poinformowany Prezes Urzędu Ochrony Danych Osobowych.

UODO potwierdził otrzymanie zgłoszenia naruszenia ochrony danych od prezydenta Warszawy. „Ze względu na wstępny charakter zgłoszenia, o podjęciu dalszych działań będziemy mogli zadecydować po wyjaśnieniu wszelkich okoliczności” – poinformował rzecznik prasowy Urzędu Ochrony Danych Osobowych Adam Sanocki

Zaznaczył też, że nie każde zgłoszenie wymaga podejmowania działań ze strony urzędy. Niekiedy konieczne jest wysłanie dodatkowych pism z prośbą o uzupełnienie dokumentacji. Może się również zdarzyć, że konieczne jest np. wszczęcie postępowania administracyjnego. Jednak jak wskazał rzecznik „wszelkie ewentualne czynności organ podejmuje po dogłębnej analizie w indywidualnej sprawie”.

Wyjaśnił, że nałożenie kary pieniężnej jest uzależnione od oceny okoliczności konkretnej sprawy, a każda sytuacja badana jest indywidualnie. „Nałożenie administracyjnej kary pieniężnej lub wydanie ostrzeżenia nie wpływa na możliwość zastosowania przez Prezesa UODO innych uprawnień, czy też sankcji” – przekazał rzecznik UODO.