UODO wnioskuje o wznowienie śledztwa ws. wycieku danych z platformy Pandabuy

Prezes Urzędu Ochrony Danych Osobowych (UODO) Mirosław Wróblewski zwrócił się do prokuratora generalnego Waldemara Żurka z wnioskiem o podjęcie na nowo postępowania przygotowawczego dotyczącego wycieku danych z platformy sprzedażowej Pandabuy. Sprawa dotyczy wycieku danych osobowych polskich obywateli, który miał miejsce w 2024 roku. Dochodzenie w tej sprawie zostało wcześniej umorzone przez prokuraturę.

W komunikacie opublikowanym na stronie UODO podkreślono, że w interesie publicznym oraz polskich organów ścigania jest ściganie osób, które nielegalnie posługują się danymi osobowymi obywateli Polski. Prezes UODO wskazał, że organy ścigania nie wyczerpały wszystkich możliwości poszukiwania środków dowodowych, a okoliczności sprawy pozostają niezbadane.

Zakres wycieku danych i działania prokuratury

W marcu 2024 roku w internecie udostępniono dane 1,3 miliona klientów platformy Pandabuy z całego świata, w tym z Polski. Zakres wyciekłych danych obejmował imiona i nazwiska, adresy e-mail, numery telefonów, identyfikatory użytkowników, adresy IP, hasła, adresy dostaw oraz informacje dotyczące zamówień i płatności.

Na podstawie tych danych powstała interaktywna mapa Polski, na której zamieszczono informacje o polskich klientach serwisu, takie jak imiona, nazwiska oraz adresy dostaw. Strona z mapą była niedostępna po kilku dniach, jednak mapa pojawiała się pod innymi adresami internetowymi.

Prezes UODO złożył zawiadomienie o podejrzeniu popełnienia przestępstwa w kwietniu 2024 roku, które trafiło do Prokuratury Rejonowej Warszawa Śródmieście-Północ. W czerwcu 2024 roku prokuratura odmówiła wszczęcia śledztwa, argumentując brak dostatecznych danych uzasadniających podejrzenie popełnienia przestępstwa.

UODO złożył zażalenie na tę decyzję do sądu, który jesienią 2024 roku uwzględnił je, co doprowadziło do wszczęcia dochodzenia. Rok później prokuratura umorzyła postępowanie, a prezes UODO zaskarżył tę decyzję do Prokuratury Okręgowej w Warszawie. Prokuratura okręgowa nie uwzględniła jednak zażalenia.

Argumenty prezesa UODO w sprawie wznowienia postępowania

Prezes UODO zwraca uwagę, że prowadzący postępowanie oraz prokurator zatwierdzający postanowienie o umorzeniu dochodzenia nie rozpatrzyli wszechstronnie materiału dowodowego. W ocenie prezesa nie podjęto wystarczających czynności zmierzających do ustalenia podmiotów rejestrujących i administrujących domenami, wyjaśnienia kanału, którym dane osobowe z wycieku trafiły do osób tworzących serwisy internetowe z danymi polskich obywateli, oraz przeprowadzenia analizy technicznej mogącej prowadzić do ustalenia tożsamości sprawców.

Prezes UODO wskazał, że naruszony został art. 107 ust. 1 ustawy o ochronie danych osobowych, który przewiduje karę grzywny, ograniczenia wolności lub pozbawienia wolności do lat dwóch dla osoby przetwarzającej dane osobowe bez uprawnienia.

W związku z tym prezes UODO wniósł do prokuratora generalnego o rozważenie podjęcia na nowo postępowania przygotowawczego w tej sprawie.

Sprawa dotyczy wycieku danych osobowych 1,3 miliona klientów platformy Pandabuy, w tym polskich obywateli. Dane te obejmowały szeroki zakres informacji, w tym dane kontaktowe, hasła oraz szczegóły zamówień i płatności. Pomimo wcześniejszych decyzji prokuratury o odmowie wszczęcia śledztwa i późniejszym umorzeniu dochodzenia, prezes UODO podjął działania zmierzające do wznowienia postępowania, wskazując na niewyczerpanie możliwości dowodowych przez organy ścigania.