Informacja o wynikach kontroli funkcjonowania straży gminnych ...

Ważniejsze wyniki kontroli
objętych wnioskami skierowanymi do sądów), jak i dane osobowe z rejestrów, ewidencji
i zbiorów, do których straże posiadały dostęp na podstawie odrębnych przepisów (np.
zbiory PESEL, CEPiK).
Komendanci w 10 strażach (Chodzież, Gniezno, Kłodzko, Opole, Legnica, Nowy
Sącz, Radom, Stargard Szczeciński, Szczecin, Zamość), nie zgłosili do rejestracji
Generalnemu Inspektorowi Ochrony Danych Osobowych (GIODO) posiadanych
i przetwarzanych zbiorów. Brak rejestracji zbiorów naruszał obowiązek określony przepisem
art. 40 ustawy o ochronie danych osobowych 55 (uodo). Niezgłoszenie do rejestracji
przetwarzanych zbiorów danych osobowych wypełnia znamiona czynu określonego w art. 53
uodo i zagrożone jest karą: grzywny, ograniczeniem wolności albo pozbawieniem wolności
do roku. Dopiero w toku kontroli NIK w 5 strażach (Gniezno, Nowy Sącz, Stargard
Szczeciński, Szczecin, Zamość) zgłoszono do GIODO do zarejestrowania przetwarzane
zbiory danych osobowych.
Urzędy Miast w Chodzieży, Nowym Sączu i Legnicy do czasu kontroli NIK nie
zarejestrowały zbiorów obejmujących dane osób, którym strażnicy udzielili pouczeń
i ukarali mandatami karnymi.
Komendant straży w Szczecinie dopiero podczas kontroli NIK zgłosił do rejestracji 3 z 4
posiadanych zbiorów danych osobowych.
Komendant straży w Gnieźnie dopiero w kwietniu 2010 r. (tj. w toku kontroli NIK) zgłosił
do rejestracji GIODO zbiór danych osobowych o nazwie „Wykroczenia”.
Mimo, iż straż w Stargardzie Szczecińskim posiadała i przetwarzała dane z baz danych
osobowych dotyczących m.in.: osób ukaranych, numerów PESEL mieszkańców miasta oraz
spraw o wykroczenia, to dopiero w toku kontroli NIK dokonano zgłoszenia posiadanych
zbiorów do GIODO.
W 8 strażach (Białogard, Kłodzko, Lublin, Kluczbork, Opole, Szczecin, Toruń,
Warszawa) nie określono w ogóle lub określono niewłaściwie tzw. politykę bezpieczeństwa
oraz instrukcję zarządzania systemem informatycznym służącym do przetwarzania danych
osobowych. Tym samym w strażach przetwarzano dane osobowe, mimo braku określenia
sposobu ich przetwarzania oraz stosowanych środków technicznych i organizacyjnych
zapewniających ochronę danych osobowych.
Brak określenia warunków przetwarzania danych naruszał przepis art. 36 ust. 2 oraz
§ 3 rozporządzenia w sprawie przetwarzania danych osobowych 56 .
55 Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.).
56 Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie
dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim
powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych
(Dz.U. Nr 100, poz. 1024)
43