Wyciek danych osobowych w wyniku publikacji przez Urząd w Internecie pliku z danymi osobowymi o nazwie "OPZ +załączniki"

Wyciek danych osobowych w gminie Wisznia Mała – plik „OPZ +załączniki” upubliczniony w Internecie

Doszło do gigantycznego wycieku danych w gminie Wisznia Mała. W dokumentach przetargowych dotyczących wywozu odpadów opublikowanych na platformie „e-ProPublico” znalazł się plik „OPZ +załączniki” zawierający pełne dane ok. 5500 mieszkańców: imiona, nazwiska, adresy zamieszkania oraz numery PESEL.

Pierwotnie dokument miał zawierać jedynie miejscowość, ulicę i numer domu. Plik był dostępny jeszcze we wtorek, 28 października. W środę, 29 października, około godz. 8:45, po otrzymaniu informacji o naruszeniu, plik w formacie Excel został usunięty z platformy. Nie wiadomo jednak, ile osób zdążyło pobrać dokument przed jego usunięciem.

Błąd urzędnika czy problem systemowy?

Wyciek wywołał uzasadnione obawy mieszkańców o możliwość wykorzystania ich danych przez osoby nieuprawnione. Sprawą mają zająć się odpowiednie służby, które zbadają, jak doszło do naruszenia przepisów o ochronie danych osobowych i kto ponosi odpowiedzialność.

Konsekwencje dla mieszkańców

• Ryzyko kradzieży tożsamości – udostępnienie imienia, nazwiska, PESEL-u i adresu może ułatwiać podszywanie się pod daną osobę w celu zaciągania zobowiązań, rejestracji usług lub wyłudzeń.
• Narażenie na oszustwa i phishing – możliwość otrzymywania fałszywych wiadomości i telefonów w celu wyłudzenia dodatkowych danych lub środków finansowych.
• Naruszenie prywatności i poczucia bezpieczeństwa – stres, niepokój i spadek zaufania do instytucji publicznych.
• Potencjalne skutki prawne i administracyjne – np. złożenie fałszywego wniosku kredytowego na dane ofiary.

Ryzyko wtórnego wykorzystania danych

• Możliwość dalszego rozpowszechnienia pliku przez osoby trzecie, jeśli został wcześniej pobrany.
• Trudność w pełnym wyeliminowaniu skutków – raz ujawnionych danych (PESEL, adres) nie da się „cofnąć”.

Opinia ekspercka

„Ujawnienie danych takich jak imię, nazwisko, adres i numer PESEL to bardzo poważne naruszenie bezpieczeństwa osobistego obywateli. W niepowołanych rękach mogą one posłużyć do kradzieży tożsamości, wyłudzeń finansowych, a nawet zakładania kont bankowych. Ofiary często dowiadują się o tym dopiero z wezwań do zapłaty.” – biegły sądowy w zakresie technik detektywistycznych przy Sądzie Okręgowym we Wrocławiu.

Odpowiedzialność prawna i odszkodowania

Odpowiedzialność karna: art. 107 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) – za przetwarzanie danych bez podstawy prawnej grozi grzywna, kara ograniczenia wolności albo pozbawienia wolności do 2 lat, a w przypadku szczególnych kategorii danych – do 3 lat.

Odpowiedzialność cywilna: art. 82 RODO – każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, ma prawo do odszkodowania od administratora lub podmiotu przetwarzającego.

Rola administratora: gmina jako administrator danych (art. 4 pkt 7 RODO) odpowiada za zgodność przetwarzania z prawem oraz za zastosowanie odpowiednich środków technicznych i organizacyjnych (art. 5 ust. 1 lit. f oraz art. 32 RODO).

Wnioski i rekomendacje

• Weryfikacja i anonimizacja dokumentów przed publikacją.
• Szkolenia pracowników w zakresie ochrony danych i kontroli dostępu.
• Wdrożenie zabezpieczeń technicznych (DLP, kontrola uprawnień, rejestrowanie dostępu).
• Transparentna komunikacja z mieszkańcami, w tym instrukcja zastrzeżenia numeru PESEL oraz wsparcie w razie nadużyć.

Nota informacyjna

Materiał ma charakter informacyjny i nie zawiera danych osobowych. Celem publikacji jest podniesienie świadomości w zakresie ochrony danych i konsekwencji ich nieuprawnionego ujawnienia.