Polskie prawo już zanim Unia Europejska wdrożyła RODO wprowadziło zakaz publikowania danych osobowych osób skazanych (w szczególnych wypadkach może znieść je sąd). Tym czasem przez kilka lat dane osobowe skazanych były dostępne na stronie internetowej Aresztu Śledczego, a po kliknięciu dalej można było uzyskać ich imiona ojców oraz datę i miejsce urodzenia. Sprawa trafiła na celownik Rzecznika Praw Obywatelskich.
Incydent wynikał z faktu, że 10 osób osadzonych w tym Areszcie Śledczym w Bydgoszczy nie podjęło złożonego w momencie osadzenia depozytu. W 2019 roku Areszt Śledczy opublikował na swojej stronie internetowej wezwanie do podjęcia depozytu, które umożliwiało zapoznanie nie tylko z ich imionami i nazwiskami, ale także dalej idącymi danymi jak data urodzenia. Te dane były publicznie dostępne w internecie – jak oszacowano – przez prawie 5 lat.
Takie działanie nie miało podstawy prawnej i zdaniem RPO naruszało przepisy ochrony danych osobowych, zwłaszcza rozporządzenia RODO z 27 kwietnia 2016 r. Na podstawie art. 5 ust. 1 lit. a RODO dane osobowe powinny być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dotyczą. Działania te mogły też naruszyć zasadę minimalizacji danych (art. 5 ust. 1 lit. c RODO) przez opublikowanie nadmiernych informacji osobowych – ocenia Biuro Rzecznika Praw Obywatelskich – Skutkiem może być ryzyko naruszenia praw lub wolności osób fizycznych, co oznacza, że administratorzy są zobligowani do zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych.
RPO oczekuje od dyrektora bydgoskiej placówki wyjaśnień oraz wdrożenia działań, w tym szkoleń dla pracowników, aby do tego typu sytuacji nie dochodziło w przyszłości. Przepisy o likwidacji depozytów przewidują, że wezwania do ich odbioru można publikować jedynie na tablicy informacyjnej w siedzibie Aresztu, przez okres do 6 miesięcy. Zdaniem RPO nie upoważniają one już do publikacji w internecie.
