• Fundacja OMZRiK, osoby prowadzące jej profil na Facebooku i Rafał Gaweł prawdopodobnie dopuścili się naruszenia zasad ochrony danych.
• Na stronie Ośrodka ani na jego profilu na Facebooku nie ma informacji o przetwarzaniu danych przez fundację.
• Instytut Ordo Iuris zawiadomił Urząd Ochrony Danych Osobowych i prokuraturę.
Kwestia przetwarzania danych osobowych przez Fundację Ośrodek Monitorowania Zachowań Rasistowskich i Ksenofobicznych może budzić wiele wątpliwości. Instytut Ordo Iuris zawiadomił w tej sprawie Urząd Ochrony Danych Osobowych i prokuraturę. Zawiadomienie dotyczy prawdopodobnego naruszenia zasad ochrony danych osobowych przez Ośrodek, osoby prowadzących profil OMZRiK na Facebooku oraz założyciela fundacji Rafała Gawła.
Z publicznie dostępnych informacji, które można znaleźć na stronie fundacji OMZRiK, na profilu na Facebooku „Ośrodek Monitorowania Zachowań Rasistowskich i Ksenofobicznych fundacja” oraz na profilach Rafała Gawła w mediach społecznościowych (Twitter, Facebook) wynika, że osoby te przetwarzają dane osobowe. Należą one do darczyńców fundacji, osób zgłaszających różne sytuacje lub zdarzenia, którymi zajmuje się OMZRiK oraz osób, których dotyczą działania przez niego podejmowane. Są to np. składane zawiadomienia, publikowane wpisy na stronie internetowej fundacji oraz na profilu na portalu Facebook (lub też w innych mediach społecznościowych).
Między wspomnianymi osobami (fundacją OMZRiK, osobami prowadzącymi jej profil oraz Rafałem Gawłem) najprawdopodobniej istnieje przepływ informacji i danych, w tym danych osobowych. Ten przepływ danych odbywać się musi albo za wiedzą i zgodą fundacji OMZRiK (czemu jej prezes zaprzeczył na piśmie – co rodzi pytanie o podstawy prawne takiego udostępnienia danych) albo wbrew wiedzy fundacji OMZRiK i bez jej zgody. Oznaczałoby to, że ma miejsce systematyczny wyciek danych z baz fundacji. Zatem zweryfikowane powinny zostać m.in. podstawy prawne przepływu tych danych osobowych i fakt, czy spełnione zostały przy tym liczne wymogi stawiane przez RODO administratorom danych.
Przetwarzanie danych mogło być niedopuszczalne lub dokonywane przez osoby nieuprawnione m.in. z powodu naruszenia szeregu obowiązków związanych z przetwarzaniem danych osobowych, w szczególności art. 5, art. 6, art. 13, art. 14, art. 32 RODO. Ponadto, prawdopodobnie dotyczyło to nie tylko danych zwykłych, ale też tzw. danych wrażliwych, o których mowa w art. 9 RODO, w szczególności danych dotyczących poglądów politycznych, przekonań religijnych lub światopoglądowych i danych dotyczących seksualności lub orientacji seksualnej, także danych, o których mowa w art. 10 RODO, tj. danych dotyczących wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa.
Wątpliwości co do tego, czy nie doszło tu do naruszeń wymogów związanych z ochroną danych osobowych pogłębia to, że ani na stronie internetowej fundacji OMZRiK, ani na profilu OMZRiK na portalu Facebook nie ma żadnych informacji na temat przetwarzania danych osobowych (np. w formie polityki prywatności). Nie można się więc dowiedzieć tego, kto (jaki podmiot) jest administratorem, jakie są cele i podstawy prawne przetwarzania danych osobowych, a także informacje o odbiorcach danych osobowych lub o kategoriach odbiorców.
Podejrzenie naruszenia zasad ochrony danych osobowych dodatkowo uzasadnia to, że Rafał Gaweł na swoich profilach na Twitterze i Facebooku, informując o działaniach podejmowanych przez OMZRiK, używa liczby mnogiej (np. „kolejni rodzice zgłaszają się do nas”, „po akcie oskarżenia złożonym przez nas” lub „oskarżamy go w imieniu ojca”). Według tego, co Rafał Gaweł sam podaje w informacjach o sobie na swoim profilu na Facebooku, jest on fundatorem i członkiem zarządu Fundacji OMZRiK. Tymczasem, z danych ujawnianych przez tę fundację w Krajowym Rejestrze Sądowym, nie wynika, żeby był on kiedykolwiek członkiem jej organów. Pojawia się więc pytanie, czy i na jakiej podstawie Rafał Gaweł przetwarza dane osobowe, których administratorem jest Fundacja OMZRiK.
„To wszystko świadczyć może o tym, że Fundacja OMZRiK, osoby prowadzące profil tej fundacji na Facebooku oraz Rafał Gaweł, nie mają kontroli nad przetwarzanymi danymi osobowymi. Jest to tym ważniejsze, im istotniejsza jest kategoria przetwarzanych danych – przykładowo, gdy są to dane dotyczące poglądów politycznych, przekonań religijnych lub światopoglądowych albo dane dotyczące seksualności lub orientacji seksualnej” – podkreśla Grzegorz Górka z Centrum Interwencji Procesowej Ordo Iuris.
W związku z tym, istnieje poważne podejrzenie, iż zostały naruszone zasady przetwarzania danych osobowych w stopniu uzasadniającym wszczęcie przez Prezesa Urzędu Ochrony Danych Osobowych kontroli na podstawie art. 78 ustawy o ochronie danych osobowych oraz przeprowadzenia przez organy ścigania postępowania w sprawie popełnienia przestępstwa z art. 107 ust. 1 i 2 ustawy, czyli występku polegającego na przetwarzaniu danych osobowych, gdy nie jest to dopuszczalne albo dana osoba do przetwarzania nie jest uprawniona. Dlatego też Instytut Ordo Iuris złożył dwa zawiadomienia, jedno do Prezesa UODO – o wszczęcie kontroli, a drugie do prokuratury – o możliwości popełnienia przestępstwa.
