Udostępnianie danych osobowych bez zgody – co grozi sprawcy?

Czy ujawnienie danych osobowych w komunikatorze jest naruszeniem prawa?

Tak, ale ocena zawsze zależy od konkretnego stanu faktycznego: jakie dane ujawniono, komu je przekazano, w jakim celu, jak szeroki był krąg odbiorców i czy sprawca działał jednorazowo, czy w sposób powtarzalny. Imię i nazwisko, adres zamieszkania, miejsce pracy lub nauki, numer telefonu, adres e-mail, login powiązany z konkretną osobą albo zestaw informacji pozwalający ustalić tożsamość użytkownika mogą stanowić dane osobowe.

Przetwarzaniem danych osobowych jest nie tylko ich zbieranie i przechowywanie, lecz także ujawnianie przez przesłanie, rozpowszechnianie lub udostępnianie innym osobom. W praktyce rozsyłanie cudzych danych na czacie, kanale głosowo-tekstowym, grupie społecznościowej albo prywatnych wiadomościach może być traktowane jako przetwarzanie danych osobowych. Podobne zagadnienia, gdy przetwarzanie danych osobowych wiąże się z utrwalaniem obrazu lub dźwięku, omawia tekst o RODO i nagrywaniu.

Nie każde użycie cudzych danych automatycznie oznacza przestępstwo. RODO nie obejmuje czynności o wyłącznie osobistym lub domowym charakterze, jednak rozsyłanie danych osoby występującej pod pseudonimem do uczestników forum, grupy albo społeczności internetowej zwykle wykracza poza zwykłą prywatną korespondencję, zwłaszcza gdy służy naciskowi, ośmieszeniu, zastraszeniu lub naruszeniu prywatności.

Kiedy przetwarzanie danych osobowych jest legalne?

RODO przewiduje kilka podstaw legalnego przetwarzania danych. Najczęściej chodzi o zgodę osoby, której dane dotyczą, wykonanie umowy, obowiązek prawny, ochronę żywotnych interesów, wykonanie zadania publicznego albo prawnie uzasadniony interes administratora, o ile nie przeważają prawa i wolności osoby, której dane dotyczą.

W przypadku prywatnego konfliktu na forum sama ciekawość, chęć „ujawnienia prawdy”, ostrzeżenia innych bez podstawy faktycznej albo wywarcia presji na administratorze nie jest wystarczającą podstawą do rozpowszechniania jego adresu, nazwiska czy miejsca nauki. Zgoda również musi być dobrowolna, konkretna, świadoma i możliwa do wycofania; więcej o tym, jak wygląda RODO w praktyce, pokazują sprawy dotyczące nagrywania bez zgody.

Odpowiedzialność karna za nieuprawnione przetwarzanie danych

Aktualnie podstawą odpowiedzialności karnej nie jest już art. 49 dawnej ustawy o ochronie danych osobowych z 1997 r. Przepis ten utracił praktyczne znaczenie po wejściu w życie RODO i nowej ustawy z 10 maja 2018 r. o ochronie danych osobowych.

Zgodnie z art. 107 ust. 1 ustawy o ochronie danych osobowych, kto przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo nie jest do niego uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Jeżeli czyn dotyczy danych szczególnych, np. danych o zdrowiu, pochodzeniu rasowym lub etnicznym, poglądach politycznych, przekonaniach religijnych, przynależności związkowej, danych genetycznych, biometrycznych, seksualności lub orientacji seksualnej, zagrożenie wzrasta do 3 lat pozbawienia wolności.

W sprawie forum lub komunikatora kluczowe jest wykazanie, że sprawca faktycznie przetwarzał dane w sposób niedopuszczalny albo bez uprawnienia. Może mieć znaczenie skala działania, liczba odbiorców, powtarzalność, cel publikacji, wcześniejsze żądania zaprzestania naruszeń oraz to, czy ujawnione informacje były publicznie dostępne, czy pochodziły z prywatnych źródeł.

Groźby, nękanie i podszywanie się przy ujawnianiu danych

Ujawnianie danych często nie występuje samodzielnie. Jeżeli sprawca pisze, że „znajdzie” pokrzywdzonego, „przyjedzie pod adres”, „załatwi sprawę” albo grozi popełnieniem przestępstwa na szkodę pokrzywdzonego lub osoby dla niego najbliższej, należy rozważyć art. 190 Kodeksu karnego. Po nowelizacjach aktualne brzmienie przepisu przewiduje karę pozbawienia wolności do lat 3, jeżeli groźba wzbudza u osoby, do której została skierowana albo której dotyczy, uzasadnioną obawę spełnienia.

Groźba karalna jest ścigana na wniosek pokrzywdzonego. W praktyce najlepiej już w zawiadomieniu napisać, że składa się wniosek o ściganie sprawcy czynu z art. 190 Kodeksu karnego, jeżeli opisane wiadomości wywołały realną i uzasadnioną obawę.

Jeżeli ujawnianie danych jest elementem uporczywego nękania, ciągłego zasypywania wiadomościami, publicznego oznaczania, tworzenia kont służących do dręczenia albo naruszania prywatności, może wchodzić w grę art. 190a Kodeksu karnego, czyli stalking. Ten przepis obejmuje również podszywanie się pod inną osobę i wykorzystanie jej wizerunku, danych osobowych lub innych danych identyfikujących, jeżeli wyrządzono szkodę majątkową lub osobistą. W podobnych sprawach warto analizować także inne naruszenia online, zwłaszcza gdy dane osobowe są używane do podszywania się lub kompromitowania pokrzywdzonego.

Jeżeli sprawca używa gróźb lub ujawniania danych po to, aby zmusić pokrzywdzonego do określonego działania, zaniechania lub znoszenia, możliwe jest także rozważenie art. 191 Kodeksu karnego. Kwalifikację prawną ostatecznie oceniają organy ścigania i sąd, dlatego w zawiadomieniu warto szczegółowo opisać fakty, a nie ograniczać się do wskazania jednego przepisu.

Co zrobić, gdy ktoś ujawnia Twoje dane w internecie?

Przede wszystkim należy zabezpieczyć materiał dowodowy, zanim sprawca usunie wiadomości. Przydatne są zrzuty ekranu obejmujące treść, datę, godzinę, nazwę kanału lub grupy, identyfikator użytkownika, link do profilu, listę odbiorców, reakcje innych osób oraz całą sekwencję rozmowy. Warto zachować oryginalne wiadomości, eksport rozmowy, adresy URL i potwierdzenia zgłoszeń do administratora platformy.

Następnie można wysłać do sprawcy albo administratora serwisu żądanie usunięcia danych, zaprzestania rozpowszechniania i zabezpieczenia logów. Gdy zachowanie jest poważne, powtarzalne, zastraszające albo dotyczy adresu zamieszkania, miejsca nauki, pracy, rodziny lub danych wrażliwych, nie warto zwlekać z zawiadomieniem Policji lub prokuratury.

Równolegle, jeżeli sprawa mieści się w przepisach o ochronie danych, można złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Trzeba jednak pamiętać, że UODO nie zasądzi zadośćuczynienia ani odszkodowania. Roszczeń finansowych i ochrony dóbr osobistych dochodzi się przed sądem cywilnym.

Jak wygląda zawiadomienie na Policję lub do prokuratury?

Zawiadomienie powinno opisywać zdarzenia chronologicznie. Należy wskazać, kto ujawnił dane, jakie dane zostały ujawnione, gdzie to nastąpiło, komu zostały przekazane, kiedy pokrzywdzony się o tym dowiedział, jakie skutki wywołało naruszenie oraz czy sprawca był wzywany do zaprzestania działania.

W zawiadomieniu warto dołączyć dowody i napisać, że pokrzywdzony wnosi o przesłuchanie wskazanych świadków, zabezpieczenie danych konta, zwrócenie się do administratora platformy o informacje techniczne oraz ściganie czynów ściganych na wniosek, jeżeli opis sprawy wskazuje na groźbę karalną, stalking albo zmuszanie.

Zgodnie z art. 297 Kodeksu postępowania karnego celem postępowania przygotowawczego jest m.in. ustalenie, czy popełniono czyn zabroniony, wykrycie sprawcy, wyjaśnienie okoliczności sprawy oraz zebranie i zabezpieczenie dowodów dla sądu. W praktyce oznacza to, że im precyzyjniej opisane są fakty i dowody, tym większa szansa na skuteczne podjęcie czynności.

Roszczenia cywilne za naruszenie prywatności i dóbr osobistych

Ujawnienie adresu, danych identyfikujących, miejsca nauki czy informacji o życiu prywatnym może naruszać dobra osobiste, w szczególności prywatność, dobre imię, wizerunek, cześć lub poczucie bezpieczeństwa. W sprawie cywilnej można żądać zaniechania naruszeń, usunięcia danych, przeprosin, zadośćuczynienia, odszkodowania, a czasem także zabezpieczenia roszczenia na czas procesu.

Jeżeli naruszenie spowodowało szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, podstawą roszczeń może być także art. 82 RODO. Sam fakt nieprzyjemnego konfliktu nie przesądza jeszcze o wysokości świadczenia. Trzeba wykazać naruszenie, szkodę oraz związek między nimi, np. realne obawy, koszty zmiany numeru telefonu, konieczność zabezpieczenia kont, utratę zleceń albo długotrwałe skutki psychiczne.

FAQ

Czy samo imię i nazwisko to dane osobowe?

Tak, jeżeli pozwalają zidentyfikować konkretną osobę albo w połączeniu z innymi informacjami, np. miejscem nauki, adresem lub pseudonimem, umożliwiają jej rozpoznanie.

Czy muszę udowodnić, że nie wyraziłem zgody?

Warto wykazać, że nie wyrażałeś zgody i żądałeś zaprzestania naruszeń, ale brak zgody to nie jedyny element sprawy. Liczy się także to, czy sprawca miał inną podstawę prawną do ujawnienia danych oraz jaki był cel i zakres publikacji.

Czy można zgłosić sprawę, gdy dane wysłano tylko w prywatnej grupie?

Tak. Prywatny charakter grupy nie wyłącza automatycznie odpowiedzialności. Istotne jest, ilu było odbiorców, jaki był cel ujawnienia danych, czy wiadomość można było dalej rozpowszechnić i jakie skutki powstały dla pokrzywdzonego.

Czy groźba przez komunikator jest groźbą karalną?

Może nią być, jeżeli dotyczy popełnienia przestępstwa na Twoją szkodę lub szkodę osoby dla Ciebie najbliższej i wzbudza uzasadnioną obawę spełnienia. Forma nie musi być ustna; znaczenie mogą mieć wiadomości tekstowe, głosowe, grafiki i inne zachowania.

Czy skarga do UODO zastępuje zawiadomienie o przestępstwie?

Nie. Skarga do UODO służy ochronie administracyjnej w sprawach przetwarzania danych. Zawiadomienie do Policji lub prokuratury dotyczy odpowiedzialności karnej. Obie ścieżki mogą być prowadzone równolegle, jeżeli stan faktyczny to uzasadnia.

Czy mogę domagać się pieniędzy za ujawnienie danych?

Tak, ale zwykle wymaga to postępowania cywilnego. Możliwe są roszczenia z tytułu naruszenia dóbr osobistych, a w określonych przypadkach także odszkodowanie na podstawie art. 82 RODO, jeżeli wykażesz szkodę i związek z naruszeniem.

Podsumowanie

Rozpowszechnianie cudzych danych osobowych bez zgody w komunikatorach nie jest błahostką, zwłaszcza gdy dotyczy adresu, miejsca nauki, pracy albo osoby działającej pod pseudonimem. Obecnie podstawą odpowiedzialności za nielegalne przetwarzanie danych jest art. 107 ustawy o ochronie danych osobowych, a nie dawna ustawa z 1997 r.

Jeżeli ujawnianie danych łączy się z groźbami, nękaniem, podszywaniem się albo wymuszaniem określonego zachowania, sprawa może mieć również wymiar karny na podstawie Kodeksu karnego. Najważniejsze jest szybkie zabezpieczenie dowodów i dobranie właściwej ścieżki działania: zawiadomienie organów ścigania, skarga do UODO, wezwanie do usunięcia danych lub pozew cywilny.

Źródła:

1. Konstytucja Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r., art. 47 i art. 51 - Dz.U. 1997 nr 78 poz. 483

2. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. - RODO

3. Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych - Dz.U. 2019 poz. 1781

4. Ustawa z dnia 6 czerwca 1997 r. - Kodeks karny - Dz.U. 2025 poz. 383

5. Ustawa z dnia 6 czerwca 1997 r. - Kodeks postępowania karnego - Dz.U. 1997 nr 89 poz. 555