Wjazdówki na BitterSweet pod lupą. Mieszkańcy pytają, czy system nie narusza przepisów RODO

Sprawa dotyczy rozwiązania wprowadzonego w związku z organizacją BitterSweet Festival, który rozpoczął się w czwartek, 13 sierpnia. W poprzedzających wydarzenie dniach zmieniała się organizacja ruchu wokół Cytadeli, a dla mieszkańców przygotowano specjalne dokumenty mające umożliwiać wjazd do objętej ograniczeniami strefy.

To właśnie konstrukcja tych wjazdówek stała się przedmiotem kolejnego sporu pomiędzy organizatorem a przeciwnikami sposobu organizacji festiwalu na Cytadeli.

Adres, telefon i numer rejestracyjny za szybą

Według materiałów przedstawionych przez Głos Cytadeli mieszkańcy korzystający z wjazdówki zostali poproszeni o wpisanie na niej trzech informacji: adresu zamieszkania, numeru rejestracyjnego samochodu oraz numeru telefonu.

Wątpliwości społeczników nie dotyczą więc wyłącznie tego, iż organizator otrzymuje określone informacje, ale przede wszystkim sposobu posługiwania się nimi. Formularz ma być bowiem umieszczany za szybą samochodu w taki sposób, aby można było zweryfikować uprawnienie kierowcy do wjazdu.

Zdaniem Głosu Cytadeli powoduje to sytuację, w której kilka informacji dotyczących jednej osoby zostaje połączonych na jednym, widocznym dokumencie. Numer rejestracyjny konkretnego samochodu występuje obok adresu oraz numeru telefonu.

Społecznicy pytają, czy do osiągnięcia celu, jakim jest umożliwienie mieszkańcom dojazdu do posesji, rzeczywiście konieczne jest ujawnianie całego takiego zestawu.

Czy organizator potrzebuje wszystkich tych informacji?

To właśnie zasada minimalizacji danych jest jednym z głównych argumentów podnoszonych przez inicjatywę. Głos Cytadeli powołuje się na art. 5 ust. 1 lit. c RODO, zgodnie z którym przetwarzane dane powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne dla celu ich przetwarzania.

W ocenie społeczników do sprawdzenia prawa do wjazdu można było stworzyć rozwiązanie, które nie wymaga eksponowania jednocześnie adresu, numeru telefonu i numeru rejestracyjnego.

Ich szczególne obawy budzi możliwość pozostawienia takiej wjazdówki za szybą również po przejechaniu przez punkt kontrolny. W takim przypadku informacje mogłyby potencjalnie zobaczyć osoby postronne.

Głos Cytadeli zwraca uwagę na jeszcze jeden aspekt. Połączenie informacji o konkretnym samochodzie z dokładnym adresem jego użytkownika i numerem telefonu tworzy znacznie szerszy zestaw informacji niż każda z tych danych rozpatrywana oddzielnie. Zdaniem inicjatywy może to niepotrzebnie zwiększać ryzyko wykorzystania ich w sposób niepożądany.

Nie oznacza to jednak automatycznie, iż doszło do naruszenia RODO. Ostateczna ocena wymaga m.in. ustalenia, kto w tym przypadku jest administratorem danych, na jakiej podstawie są one przetwarzane, w jaki dokładnie sposób działa system weryfikacji i czy zakres wymaganych informacji jest rzeczywiście konieczny. Tego rodzaju ocenę może przeprowadzić adekwatny organ.

Społecznicy zawiadomili UODO

Inicjatywa informuje, iż sprawa nie zakończyła się jedynie na publicznym zgłoszeniu zastrzeżeń. Według przekazanych przez nią informacji do Prezesa Urzędu Ochrony Danych Osobowych skierowana została formalna skarga.

Społecznicy chcą, aby organ zbadał system wjazdówek m.in. pod kątem art. 5 oraz art. 32 RODO. Pierwszy z tych przepisów określa podstawowe zasady przetwarzania danych, natomiast drugi odnosi się do bezpieczeństwa ich przetwarzania.

Na tym etapie są to jednak zarzuty inicjatywy, a nie stwierdzone przez UODO naruszenia. Samo złożenie skargi nie oznacza przesądzenia, iż organizator złamał przepisy ani iż zostanie wobec niego zastosowana jakakolwiek sankcja.

Pytania również o obowiązek informacyjny

Drugi obszar wątpliwości dotyczy informacji przekazanych osobom korzystającym z systemu.

Głos Cytadeli twierdzi, iż na formularzach wjazdówek nie znalazła się klauzula informacyjna dotycząca przetwarzania danych. Społecznicy wskazują m.in. na brak informacji określających administratora danych, zasady i czas ich przetwarzania oraz informacji dotyczących kontaktu w sprawach związanych z ochroną danych.

W swoim zawiadomieniu powołują się w tym kontekście na art. 13 RODO, regulujący obowiązek przekazywania określonych informacji osobie, od której pozyskiwane są dane osobowe.

Jednocześnie inicjatywa wskazuje, iż mieszkańców mających pytania dotyczące funkcjonowania festiwalu kierowano na adres e-mail projektu „Dobry Sąsiad”. Zdaniem społeczników nie jest jasne, jak wygląda dalsza droga informacji przekazywanych za jego pośrednictwem i kto ma do nich dostęp.

Także w tym przypadku do przesądzenia ewentualnego naruszenia konieczne byłoby ustalenie rzeczywistego sposobu przetwarzania informacji przez organizatora. Sam brak określonych elementów na wjazdówce nie musi jeszcze pozwalać na ocenę całego procesu, jeżeli wymagane informacje zostały mieszkańcom przekazane w inny sposób.

„Dobry Sąsiad” znów przedmiotem krytyki

Sprawa wjazdówek wpisuje się w szerszy konflikt dotyczący tegorocznego BitterSweet. Organizator od miesięcy zapowiadał zmiany po doświadczeniach pierwszej edycji festiwalu. Jednym z mocno komunikowanych elementów była większa otwartość na potrzeby osób zamieszkałych w sąsiedztwie Cytadeli.

Projekt „Dobry Sąsiad” miał służyć właśnie lepszej komunikacji z mieszkańcami i ograniczeniu uciążliwości związanych z wielodniową obecnością festiwalu w parku.

Dla Głosu Cytadeli sytuacja z wjazdówkami jest jednak kolejnym argumentem na poparcie tezy, iż deklaracje o szczególnej trosce o mieszkańców należy konfrontować z praktycznymi rozwiązaniami zastosowanymi podczas organizacji wydarzenia.

Społecznicy uważają, iż trudno mówić o zwiększaniu komfortu mieszkańców, jeżeli możliwość swobodnego dotarcia samochodem do miejsca zamieszkania ma wiązać się – w ich ocenie – z koniecznością umieszczenia za szybą dokumentu zawierającego kilka informacji o jego użytkowniku.

Zapowiadają także roszczenia cywilne

Głos Cytadeli zapowiada, iż na skardze do UODO działania mogą się nie zakończyć. Inicjatywa deklaruje wsparcie dla mieszkańców zainteresowanych dochodzeniem roszczeń na podstawie art. 82 RODO, który przewiduje możliwość ubiegania się o odszkodowanie za szkodę majątkową lub niemajątkową poniesioną w wyniku naruszenia rozporządzenia.

Społecznicy mówią o roszczeniach w wysokości 10 tys. zł na osobę i dopuszczają zarówno działania indywidualne, jak i grupowe.

Także tutaj trzeba jednak oddzielić zapowiedzi inicjatywy od skutków prawnych. Wskazana przez społeczników kwota nie wynika automatycznie z RODO. Ewentualne przyznanie zadośćuczynienia i jego wysokość wymagałyby wykazania przesłanek odpowiedzialności i podlegałyby ocenie sądu.

Inicjatywa informuje również, iż gromadzi materiały dotyczące stosowania wjazdówek, przy czym – jak zapewnia – otrzymywane od mieszkańców dokumenty są przed dalszym wykorzystaniem anonimizowane.

Festiwal ruszył, pytania pozostały

BitterSweet Festival rozpoczął się 13 sierpnia i przez trzy dni przyciąga na Cytadelę tysiące uczestników. Jednocześnie spór dotyczący wpływu wydarzenia na park i życie okolicznych mieszkańców rozszerza się na kolejne obszary.

Tym razem nie chodzi o stan trawników, ciężki transport czy hałas, ale o znacznie mniej widoczny element organizacji dużej imprezy – sposób obchodzenia się z informacjami dotyczącymi osób zamieszkałych w jej bezpośrednim sąsiedztwie.

Na obecnym etapie nie ma podstaw, aby przesądzać, iż system wjazdówek narusza RODO. Są natomiast konkretne wątpliwości zgłoszone przez mieszkańców i społeczników, którzy zdecydowali się skierować sprawę do organu adekwatnego do ich rozstrzygnięcia.

Jeżeli UODO podejmie sprawę, odpowiedź na pytanie o zgodność zastosowanego rozwiązania z przepisami będzie miała znaczenie szersze niż tylko dla tegorocznego BitterSweet. Dotyczy bowiem fundamentalnej kwestii: jak organizator komercyjnego wydarzenia powinien pogodzić kontrolę dostępu do czasowo ograniczonej strefy z prawem zamieszkałych w niej osób do prywatności.