Jakie są przykłady naruszeń ochrony danych osobowych w instytucjach kultury lub w bibliotekach?

ODPOWIEDŹ

Biblioteki przetwarzają dane czytelników podane przy zakładaniu karty bibliotecznej (imię, nazwisko, adres, data urodzenia, często status zawodowy i PESEL, podpis), historię wypożyczeń, a także informacje o ewentualnym zadłużeniu wynikającym z braku zwrotu książki w terminie. Co ciekawe, w razie wycieku danych na temat historii wypożyczeń można nawet zaryzykować stwierdzenie o wycieku informacji na temat światopoglądu czytelnika, jeżeli na podstawie czytanych książek jesteśmy w stanie pewne wnioski wyciągnąć, a takie dane mogą stanowić już dane szczególnych kategorii (https://odoserwis.pl/a/1660/wazne-orzeczenie-tsue-dotyczace-interpretacji-zakresu-danych-objetych-szczegolna-kategoria-danych). Jeżeli taka teoria wydaje się na pierwszy rzut oka absurdalna to proszę sobie wyobrazić skutki naruszenia, w ramach którego dochodzi na wycieku informacji, że znany polityk słynący z przywiązania do wartości konserwatywnych i deklarujący się jako osoba głęboko wierząca i związana z Kościołem Katolickim, wypożyczał wiele książek na temat zmiany płci, poradniki na temat tego jak się rozwieść albo literaturę queerową/LGBT. Mogłoby to nieść daleko idące skutki dla jego wizerunku w oczach wyborców. Tak więc wyciek tego typu danych (na temat wypożyczeń), w szczególności jeżeli nie jest znany krąg odbiorców, rekomendowałabym zgłosić do PUODO. Oczywiście, jeżeli wycieknie PESEL pozyskany przy wyrabianiu karty bibliotecznej – takie naruszenie trzeba zgłosić do PUODO, bo PUODO co do zasady wiąże wyciek takiej informacji z wysokim ryzykiem dla osoby, której PESEL wyciekł.

W przypadku domu kultury mogą być przetwarzane np. dane uczestników organizowanych przez dom kultury wydarzeń. Można sobie wyobrazić np. takie naruszenie: zmienia się termin wydarzenia, na które zapisało się 15 osób (bo obowiązują zapisy), w związku z czym dom kultury wysyła do tych 15 osób informację mailową o zmianie terminu, dodając wszystkie adresy mailowe w polu odbiorców, zamiast w UDW. Każda z 15 osób zatem dowie się, że pozostałe 14 osób to ludzie, którzy też będą uczestniczyć w tym wydarzeniu. Adresy mailowe mogą być zbudowane w sposób pozwalający na łatwą identyfikację (np. [email protected]) albo trudniejszą ([email protected]). W mojej ocenie jednak takie naruszenie generuje niskie ryzyka dla osób, których dane wyciekły i nie wymaga zgłoszenia do PUODO. Domy kultury organizują wydarzenia takiego typu (koncerty, spotkania z autorem itp.), że wyciek informacji o tym, że ktoś się na nie wybiera, nie stanowi większego ryzyka dla uczestników.