Chińska platforma, polski interes. Po wycieku danych Prezes UODO interweniuje u Prokuratora Generalnego

Popularna chińska platforma sprzedażowa miała wyciek danych, który dotyczył nawet 1,3 miliona klientów. Prokuratura Rejonowa Warszawa-Śródmieście umorzyła postępowanie przygotowawcze, ale Prezes UODO wnosi o podjęcie na nowo postępowania  – skierował pismo w tej sprawie do Prokuratora Generalnego Waldemara Żurka. W interesie publicznym, a zatem również polskich organów ścigania, jest ściganie osób, które w sposób nielegalny posługują się danymi osobowymi obywateli RP – podkreśla w swoim piśmie prezes UODO Mirosław Wróblewski.

Wszystko zaczęło się 7 kwietnia 2024 roku, kiedy do Prezesa Urzędu Ochrony Danych Osobowych zaczęły wpływać doniesienia medialne, a przede wszystkim zgłoszenia i skargi od osób będących klientami chińskiej platformy sprzedażowej pandabuy.com. Dotyczyły one wycieku danych osobowych z tej platformy i ich dalszego przetwarzania w internecie. Najprawdopodobniej 31 marca 2024 roku w sieci zostały udostępnione dane osobowe 1,3 mln klientów z całego świata, w tym z Polski (kilkadziesiąt tysięcy osób). Dane zawierały: imię i nazwisko, adres e-mail, numer telefonu, identyfikator użytkownika, adres IP, hasła, adres dostawy, dane dotyczące zamówień i płatności.

Interaktywna mapa z nazwiskami i adresami

7 kwietnia 2024 r. na nowoutworzonej stronie „lista-drillowcow.pl” pojawiła się interaktywna mapa Polski, na której autorzy, korzystając z udostępnionych danych umieścili takie informacje jak imiona, nazwiska i adresy dostawy. W kolejnych dniach strona była niedostępna, ale mapa pojawiała się pod innymi adresami („lista drillowcow.club” i „lista-drillowcow.xyz”).

Prezes UODO 29 kwietnia 2024 r. skierował do Prokuratury Rejonowej Warszawa Śródmieście – Północ zawiadomienie o uzasadnionym podejrzeniu popełnienia przestępstwa, wskazując m.in., że w ustalonych okolicznościach sprawy, przetwarzanie danych osobowych polskich klientów platformy sprzedażowej pandabuy.com, w tym ich publikacja na ww. stronach internetowych, przez osoby administrujące tymi stronami odbywało się bez podstawy prawnej.

W ocenie Prezesa UODO nastąpiło bezprawne przetwarzanie danych osobowych polskich klientów platformy przez osoby administrujące wspomnianymi stronami internetowymi, przez co spełniona została przesłanka niedopuszczalności przetwarzania wynikająca z art. 107 ust. 1 ustawy o ochronie danych osobowych, a w konsekwencji wypełnione zostały znamiona czynu zabronionego określonego w tym przepisie.

Prezes UODO zabiega o podjęcie działań i kompleksowe zbadanie sprawy Na takie zawiadomienie Prokuratura Rejonowa Warszawa Śródmieście – Północ odpowiedziała zawiadomieniem z 22 czerwca 2024 r. o odmowie wszczęcia śledztwa, wskazując jako podstawę art. 17 § 1 pkt 1 Kpk, tj. brak danych dostatecznie uzasadniających podejrzenie przestępstwa. Z uwagi na powyższe, Prezes UODO 1 lipca 2024 r. złożył zażalenie do Sądu Rejonowego dla Warszawy – Śródmieście, za pośrednictwem ww. Prokuratury Rejonowej.

21 października 2024 r. do Prezesa UODO wpłynęło postanowienie Sądu Rejonowego dla Warszawy – Śródmieście, na mocy którego Sąd uwzględnił zażalenie organu nadzorczego, uchylając zaskarżone postanowienie ww. prokuratury. Zdaniem Sądu, „(…) informacje oraz materiały przedstawione przez Prezesa Urzędu Ochrony Danych Osobowych świadczą o uzasadnionym przypuszczeniu popełniania przestępstwa z art. 107 ust. 1 ustawy o ochronie danych osobowych. Informacje przekazane przez w/w organ zostały przy tym potwierdzone w toku czynności policyjnych. W związku z powyższym uznając, że przekazane w zawiadomieniu informacje i materiały nie uzasadniały odmowy wszczęcia postępowania, zaskarżone postanowienie uchylono i sprawę przekazano prokuratorowi celem przeprowadzenia postępowania”.

30 października 2025 r. do UODO wpłynęło postanowienie Prokuratury Rejonowej Warszawa Śródmieście – Północ z 25 września 2025 r. o umorzeniu dochodzenia. W treści wskazano, że brak jest dostatecznych danych uzasadniających podejrzenie popełnienia przestępstwa.

Nie mogąc się zgodzić z takim stanowiskiem, Prezes UODO zaskarżył je do Prokuratury Okręgowej w Warszawie.

17 marca tego roku do UODO wpłynęło postanowienie Prokuratury Okręgowej w Warszawie z 13 marca 2026 r., na mocy którego prokuratura postanowiła nie uwzględnić zażalenia Prezesa UODO, utrzymując w mocy postanowienie Prokuratury Rejonowej Warszawa Śródmieście – Północ z 25 września 2025 r. o umorzeniu dochodzenia w mocy.

Długa lista argumentów za podjęciem działań na nowo Teraz Prezes UODO zwraca się z prośbą do Prokuratora Generalnego Waldemara Żurka o rozważenie podjęcia na nowo postępowania przygotowawczego. Uzasadnia to m.in. tym, że w jego ocenie prowadzący postępowanie oraz Prokurator Prokuratury Okręgowej w Warszawie zatwierdzający postanowienie oddalające zażalenie na postanowienie Prokuratury Rejonowej Warszawa Śródmieście – Północ o umorzeniu dochodzenia, nie rozpatrzył w sposób wszechstronny całości materiału dowodowego, a to skutkuje naruszeniem zasady wyrażonej w art. 297 § 1 pkt 2 i 4 i 5 Kpk, bowiem nie doszło ani do wykrycia, ani ujęcia sprawcy oraz wyjaśnienia okoliczności sprawy, w tym nie doszło do ustalenia wszystkich osób pokrzywdzonych i rozmiarów szkody.

Materiał dowodowy zgromadzony w toku postępowania jest niekompletny, gdyż organy prowadzące postępowanie nie zbadały wszystkich możliwych kierunków (wersji) sprawy prowadzących do sprawców czynu, w szczególności nie podjęto – lub nie podjęto w wystarczającym zakresie – czynności zmierzających do:

• ustalenia podmiotów rejestrujących oraz administrujących domenami („lista-drillowcow.pl”, etc)
• wystąpienia do dostawców hostingowych o udostępnienie danych umożliwiających identyfikację administratorów ww. serwisów
• wyjaśnienia okoliczności i kanału, którym dane osobowe pochodzące z wycieku u chińskiego operatora platformy trafiły w posiadanie osób tworzących przedmiotowe serwisy internetowe
• przeprowadzenia analizy technicznej mogącej prowadzić do ustalenia tożsamości sprawców
• przesłuchania osób pokrzywdzonych, których dane opublikowano.

W ocenie Prezesa UODO doszło do dokonania dowolnej, a nie swobodnej oceny zgromadzonego materiału dowodowego.

Prezes UODO ponownie wskazuje, że argumenty podniesione przez organ nadzorczy nie zostały przeanalizowane na żadnym etapie postępowania, co więcej, organy ścigania odstąpiły od rozpoznania merytorycznego tej sprawy decydując o jej zakończeniu jedynie na podstawie przesłanek proceduralnych – co stanowi w ocenie Prezesa UODO błędną decyzję. 

Są jeszcze niezbadane okoliczności

Chińska platforma z pewnością nie jest zainteresowana publikowaniem informacji o wycieku danych, bowiem nie leży to w jej interesie – pisze Prezes UODO.  – To jednak w interesie publicznym, a zatem również polskich organów ścigania, jest ściganie osób, które w sposób nielegalny posługują się danymi osobowymi obywateli RP.

W ocenie Prezesa UODO organy ścigania nie wyczerpały możliwości w poszukiwaniu środków dowodowych w tej sprawie, a co za tym idzie pozostają jeszcze niezbadane okoliczności, które mogłyby mieć wpływ na przedmiotowe rozstrzygnięcie.