Prokuratura Okręgowa
w Warszawie

Prokuratura Okręgowa w Warszawie, na podstawie art. 131 § 1 i 2 kpk, zawiadamia pokrzywdzonych wyciekiem danych osobowych z Rządowego Centrum Bezpieczeństwa z kwietnia 2021 roku, że postanowieniem prokuratora Prokuratury Okręgowej w Warszawie z dnia 07.11.2022 r. zostało umorzone zarejestrowane pod sygnaturą PO II Ds. 128.2021 śledztwo w sprawie:

I. uzyskania bez uprawnienia, przez nieustalone osoby, w nieustalonym miejscu, w bliżej nieustalonym czasie, jednak nie wcześniej niż od dnia 12 kwietnia 2021 roku do dnia 20 kwietnia 2021 roku, dostępu do informacji dla nich nieprzeznaczonych w postaci danych informatycznych przetwarzanych przez Rządowe Centrum Bezpieczeństwa w systemie informatycznym: „System GisCOVID-19”, służącym do przetwarzania danych osobowych w związku z zapobieganiem, przeciwdziałaniem i zwalczaniem wirusa SARS-CoV2 powodującego chorobę COVID-19, funkcjonującym w ramach platformy wirtualnej ArcGIS Online, obejmujących dane osobowe 22 661 polskich funkcjonariuszy publicznych oraz pracowników służb, inspekcji i straży, w tym m.in. Policji, Służby Ochrony Państwa, Służby Więziennej, Straży Granicznej, Państwowej Straży Pożarnej, Inspekcji Transportu Drogowego, Straży Miejskich (Gminnych), Straży Ochrony Kolei, Służby Celno - Skarbowej oraz strażaków Ochotniczej Straży Pożarnej, poprzez przełamanie albo ominięcie elektronicznych, informatycznych lub innych szczególnych zabezpieczeń tego systemu informatycznego,
to jest o czyn z art. 267 § 1 i 2 kk - gdyż czynu nie popełniono, to jest na podstawie art. 17 § 1 pkt 1 kpk

II. przetwarzania bez uprawnienia w okresie od dnia 12 kwietnia 2021 roku do dnia 20 kwietnia 2021 roku, w nieustalonym miejscu, pobranych z systemu informatycznego „System GisCOVID-19” służącego do przetwarzania danych osobowych w związku z zapobieganiem, przeciwdziałaniem i zwalczaniem wirusa SARS-CoV2 powodującego chorobę COVID-19, funkcjonującego w oparciu o wirtualną platformę ArcGIS Online, danych osobowych 22 661 polskich funkcjonariuszy publicznych oraz pracowników służb, inspekcji i straży, w tym m.in. Policji, Służby Ochrony Państwa, Służby Więziennej, Straży Granicznej, Państwowej Straży Pożarnej, Inspekcji Transportu Drogowego, Straży Miejskich (Gminnych), Straży Ochrony Kolei, Służby Celno - Skarbowej oraz strażaków Ochotniczej Straży Pożarnej,
to jest o czyn z art. 107 ust.1 ustawy z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz.U. z 2019 r. nr 1781 tekst jednolity) - gdyż czyn nie zawiera znamion czynu zabronionego, to jest na podstawie art. 17 § 1 pkt 2 kpk

III. nieumyślnego niedopełnienia w okresie od dnia 12 kwietnia 2021 roku do dnia 20 kwietnia 2021 roku w Warszawie, przez funkcjonariusza publicznego – referenta w Wydziale Oceny Ryzyka i Planowania Rządowego Centrum Bezpieczeństwa – obowiązanego do ochrony danych osobowych przetwarzanych w systemie informatycznym „System GisCOVID-19” służącym do przetwarzania danych osobowych w związku z zapobieganiem, przeciwdziałaniem i zwalczaniem wirusa SARS-CoV2 powodującego chorobę COVID-19, funkcjonującym w oparciu o wirtualną platformę ArcGIS Online, obowiązków mających na celu zapewnienie wymaganej przepisami prawa ochrony tych danych poprzez umieszczenie na platformie ArcGIS Online pliku CSV zawierającego podlegające ochronie dane osobowe 22 661 polskich funkcjonariuszy publicznych oraz pracowników służb, inspekcji i straży oraz strażaków Ochotniczej Straży Pożarnej z aktywną opcją eksportu danych i umożliwienie przez to nieuprawnionym osobom dostępu do tych danych, czym wyrządził istotną szkodę,
to jest o czyn z art. 231 § 3 kk - gdyż czyn nie zawiera znamion czynu zabronionego, to jest na podstawie art. 17 § 1 pkt 2 kpk

IV. ujawnienia w okresie od dnia 12 kwietnia 2021 roku do dnia 20 kwietnia 2021 roku w Warszawie, wbrew przyjętemu na siebie zobowiązaniu, przez referenta w Wydziale Oceny Ryzyka i Planowania Rządowego Centrum Bezpieczeństwa, danych osobowych 22 661 polskich funkcjonariuszy publicznych oraz pracowników służb, inspekcji i straży oraz strażaków Ochotniczej Straży Pożarnej poprzez przetwarzanie tych danych w systemie informatycznym „System GisCOVID-19” służącym do przetwarzania danych osobowych w związku z zapobieganiem, przeciwdziałaniem i zwalczaniem wirusa SARS-CoV2 powodującego chorobę COVID-19, funkcjonującym w oparciu o wirtualną platformę ArcGIS Online i umieszczenie na platformie ArcGIS Online pliku CSV zawierającego przedmiotowe dane osobowe z aktywną opcją eksportu danych i umożliwienie przez to nieuprawnionym osobom dostępu do tych danych 
to jest o czyn z art. 266 § 1 kk - gdyż czyn nie zawiera znamion czynu zabronionego, to jest na podstawie art. 17 § 1 pkt 2 kpk

V. nieumyślnego niedopełnienia w okresie od dnia 03 marca 2021 roku do dnia 20 kwietnia 2021 roku w Warszawie, przez funkcjonariusza publicznego – Szefa Wydziału Oceny Ryzyka i Planowania Rządowego Centrum Bezpieczeństwa - pełniącego obowiązki Koordynatora systemu informatycznego „System GisCOVID-19” służącego do przetwarzania danych osobowych w związku z zapobieganiem, przeciwdziałaniem i zwalczaniem wirusa SARS-CoV2 powodującego chorobę COVID-19, funkcjonującego w oparciu o wirtualną platformę ArcGIS Online, obowiązanego do ochrony danych osobowych, obowiązków mających na celu zapewnienie wymaganej przepisami prawa ochrony tych danych poprzez dopuszczenie do przetwarzania danych osobowych 22 661 polskich funkcjonariuszy publicznych oraz pracowników służb, inspekcji i straży oraz strażaków Ochotniczej Straży Pożarnej przez podległego pracownika Rządowego Centrum Bezpieczeństwa, który nie miał wystarczającego doświadczenia i kompetencji merytorycznych potrzebnych do obsługi platformy wirtualnej ArcGIS Online oraz niewystarczające sprawowanie nadzoru nad tym pracownikiem i doprowadzenia przez to do umożliwienia w okresie od dnia 12 kwietnia 2021 roku do dnia 20 kwietnia 2021 roku dostępu do tych danych osobom nieuprawnionym, poprzez umieszczenie na platformie ArcGIS Online pliku CSV zawierającego podlegające ochronie dane osobowe z aktywną opcją eksportu danych, czym wyrządził istotną szkodę,
to jest o czyn z art. 231 § 3 kk - gdyż czyn nie zawiera znamion czynu zabronionego, to jest na podstawie art. 17 § 1 pkt 2 kpk

Jednocześnie poucza się wszystkich pokrzywdzonych przestępstwami będącymi przedmiotem śledztwa sygn. PO II Ds. 128.2021, że w niniejszym postępowaniu przysługuje im status strony (art. 299 § 1 kpk). Na podstawie art. 131 § 3 kpk pokrzywdzony może w zawitym terminie 7 dni od dnia ogłoszenia zwrócić się o doręczenie odpisu postanowienia o umorzeniu przedmiotowego śledztwa. Na powyższe postanowienie przysługuje podejrzanemu i pokrzywdzonemu zażalenie do sądu właściwego do rozpoznania sprawy w terminie 7 dni od daty doręczenia odpisu postanowienia. Wniesienie zażalenia po tym terminie jest bezskuteczne (art. 122 § 1 i 2, 460 kpk). Zażalenie wnosi się za pośrednictwem prokuratora, który wydał postanowienie.

Data publikacji 18.11.2022 r.