Paweł Litwiński: Poszkodowani przez wyciek danych mają regres do ratusza

Ponad 50 stron maszynopisu z numerami ksiąg wieczystych warszawskich nieruchomości trafiło z poczty warszawskiego ratusza do nieuprawnionych osób. Właściciele mieszkań, których dotyczył wyciek, mają powody do zmartwień?

Gdyby oceniać zaistniałą sytuację pod kątem ryzyk, jakie generuje, to w mojej ocenie nie jest to poważne naruszenie. Również skala wycieku nie jest duża. Jedno jest pewne: był to specyficzny wyciek. Wyciekły numery ksiąg wieczystych, które same mają charakter danych osobowych, bo na ich podstawie możemy się dowiedzieć, kto jest właścicielem nieruchomości. Same w sobie jeszcze nie generują ryzyka dla praw i wolności osób, których dotyczą. Dopiero na podstawie numeru księgi ustalić można imię, nazwisko, adres oraz PESEL właściciela. Numer księgi ma więc pośredni charakter, co powoduje, że skutki wycieku nie będą poważne.

Czytaj także:

UODO: dostęp do ksiąg wieczystych przez geoportal powinien być ograniczony

Warszawa w opublikowanym komunikacie ostrzega jednak przed ryzykiem zaciągnięcia kredytu przez osoby, które weszły w posiadanie danych właścicieli nieruchomości.

To prawda, takie zastrzeżenie pojawiło się w komunikacie. Jest to jednak standardowa formuła informacyjna, której użycia wymaga Urząd Ochrony Danych Osobowych. Moim zdaniem ryzyko zaciągnięcia kredytu jest minimalne, ponieważ nie wyciekły dane dowodu osobistego.

Czym ryzykowałoby miasto, gdyby nie podało informacji o omyłkowej wysyłce?

Nałożeniem wysokiej, być może najwyższej z możliwych kar, czyli 100 tys. zł. Takie mogą być nakładane na podmioty publiczne. Tym bardziej że UODO jest wrażliwy – w mojej ocenie nie do końca słusznie – na wyciek numerów PESEL.

Dlaczego niesłusznie?

Dysponując czyimś numerem PESEL, nie jesteśmy w stanie wyrządzić mu dużej krzywdy. Statystyki wskazują, że w Polsce w skali roku dochodzi do ok. 3 tys. kradzieży tożsamości. Zestawiając to ze skalą wycieku numerów PESEL, którą szacuję na ok. 800 tys. rocznie, plus powszechnie dostępnymi numerami PESEL znajdującymi się w Krajowym Rejestrze Sądowym, statystycznie przejęcie ich przez nieuprawniony podmiot nie prowadzi do nieprawdopodobnych nadużyć. W przypadku omawianego wycieku pojawia się ryzyko, że podmiot będący w posiadaniu danych dotyczących numeru ksiąg wieczystych będzie proponował np. usługi bankowe tym spośród właścicieli, w których księgach będzie widniała informacja o zaciągniętym kredycie, np. frankowym.

Warszawa pisze w komunikacie, że zobowiązała odbiorców przypadkowej wysyłki do poufności otrzymanych danych. Ma to jakąś moc?

Oczywiście, że nie. Takie zobowiązanie nie ma żadnego znaczenia. Europejska Rada Ochrony Danych Osobowych wyraźnie pisze, że takie zobowiązanie jest skuteczne w jednym tylko przypadku: w relacji pracodawca–pracownik.

A gdyby wyciek spowodował, że ktoś zaciągnie pożyczkę?

Mamy regres do miasta i możliwość domagania się odszkodowania.

Tylko jak udowodnić, że zaciągnięcie kredytu było związane z wyciekiem danych?

I tu trafiła pani w sedno. To bardzo trudna sprawa. Tym bardziej że w Polsce nie ma ponoszenia konsekwencji wycieku danych wobec jego ofiar.

Co pan zatem radzi osobom, których nieruchomości znalazły się w felernym wykazie?