Rzecznik Praw Obywatelskich pyta Zdanowską o śledzenie w miejskich serwisach

ŁCN przesłało mi pismo, z którego wynika, że do Urzędu Miasta Łodzi trafiło zapytanie od Rzecznika Praw Obywatelskich. Pismo z 12 sierpnia 2026 r. (sygn. VII.501.120.2026.AK), podpisane przez Zastępcę RPO Stanisława Trociuka, jest adresowane do Prezydent Hanny Zdanowskiej i zawiera sześć pytań o przetwarzanie danych użytkowników miejskich serwisów internetowych. Publikuję je w całości poniżej, wraz z dokumentem źródłowym.

Bezpośrednią podstawą wystąpienia jest pismo „Stowarzyszenia Łódź Cała Naprzód!" z 13 lipca 2026 r. Rzecznik działa w trybie art. 13 ust. 1 pkt 2 ustawy o RPO, a więc zwraca się o zajęcie stanowiska, nie rozstrzyga sprawy. Warto to podkreślić, bo cały dokument jest napisany w trybie warunkowym: opisane okoliczności, „o ile znajdą potwierdzenie", mogłyby wskazywać na naruszenie art. 47 i 51 Konstytucji RP, art. 5 ust. 1 lit. a, art. 6 i art. 7 RODO oraz art. 399 i 400 Prawa komunikacji elektronicznej. To nie jest ustalenie naruszenia. To jest pytanie postawione miastu przez organ konstytucyjny

Rzecznik opiera opis stanu faktycznego na „zautomatyzowanym audycie technicznym" opublikowanym w marcu 2026 r., z którego miałoby wynikać, że mechanizmy analityczno-reklamowe działały bez zgody użytkowników na 28 spośród 39 zbadanych domen. To liczby z audytu, który przeprowadziłem między 6 a 9 marca 2026 r. i opublikowałem w repozytorium dowodowym: 28 domen z naruszeniami, 11 czystych. Ten sam materiał stał za interpelacją radnych z 22 maja i za odpowiedzią wiceprezydenta Piotrowskiego z 30 czerwca, którą RPO cytuje jako dowód, że miasto nie wyklucza zaistnienia opisanej sytuacji.

Chciałbym zwrócić Państwa szczególną uwagę na trzy wątki z pisma.

MOPS. Rzecznik wprost wskazuje serwis Miejskiego Ośrodka Pomocy Społecznej i pisze o ryzyku „szczególnie istotnym z perspektywy ochrony godności i prywatności osób znajdujących się w kryzysowej sytuacji życiowej". Osoba szukająca wsparcia socjalnego nie ma alternatywnego kanału.

BIP. To ten fragment, który podnosiłem we własnym wniosku do Rzecznika z 15 lipca i który uważam za najpoważniejszy ustrojowo. RPO idzie tym samym tropem: prawo dostępu do informacji publicznej przysługuje każdemu (art. 2 ust. 1 ustawy o dostępie do informacji publicznej), a mechanizm blokujący może faktycznie wykluczyć z bezwnioskowego dostępu tych, którzy nie godzą się na przetwarzanie danych w celach reklamowych. Rzecznik przypomina też § 11 ust. 2 rozporządzenia MSWiA w sprawie BIP, który wyklucza reklamy na stronie podmiotowej Biuletynu.

Umowa PPP. Poza sześcioma pytaniami Rzecznik żąda udostępnienia umowy o partnerstwie publiczno-prywatnym z 28 października 2020 r. oraz Protokołu Konieczności nr 1/2023 z 19 grudnia 2023 r., a także informacji, czy przeprowadzono ocenę skutków dla ochrony danych (art. 35 RODO). Uzasadnienie jest jednoznaczne: dokumenty te mają „zasadnicze znaczenie dla oceny podstaw prawnych, na podstawie których podmiot prywatny miał uzyskać możliwość korzystania z infrastruktury publicznej oraz danych mieszkańców". To dokładnie te dokumenty, o których miasto w odpowiedzi na interpelację odsyłało radnych do operatora.

Osobno: pytanie szóste dotyczy tego, czy miasto zgłosiło naruszenie ochrony danych do Prezesa UODO w trybie art. 33 RODO. Przypomnę, że moje zawiadomienie leży w UODO od 6 listopada 2025 r. Wiceprezydent Piotrowski potwierdził, iż dane leciały do Google bez wyrażonej zgody. Pytanie, czy znalazło się to w rejestrze RODO oraz czy zostało zgłoszone do PUODO.

Mój własny wniosek do Rzecznika z 15 lipca 2026 r. wciąż czeka na formalną odpowiedź, ale jak widać – urząd podjął działania. Zaangażowanie Stowarzyszenia Łódź Cała Naprzód to świetna wiadomość, szczególnie w zderzeniu z wielomiesięczną biernością UODO. Po to właśnie istnieją organizacje typu watchdog, by patrzeć instytucjom na ręce i pilnować, aby tak poważne tematy nie zostały zamiecione pod dywan.

Pełna treść wystąpienia

Pismo RPO z 12 sierpnia 2026 r., sygn. VII.501.120.2026.AK. Zachowano oryginalną numerację pytań i treść przypisów. Skan oryginału w załączniku.

Rzecznik Praw Obywatelskich

Warszawa, 12-08-2026 r.

VII.501.120.2026.AK

Pani Hanna Zdanowska Prezydent Miasta Łódź Urząd Miasta Łódź e-mail: lckm@uml.lodz.pl

Szanowna Pani Prezydent,

do Biura Rzecznika Praw Obywatelskich wpłynęło pismo „Stowarzyszenia Łódź Cała Naprzód!" (dalej: Stowarzyszenia), które uprzejmie przesyłam w złączeniu. Z wskazanego pisma, a także z załączonej do niego korespondencji – w tym interpelacji radnych Rady Miejskiej w Łodzi z dnia 22 maja 2026 r. oraz udzielonej na nią odpowiedzi z dnia 30 czerwca 2026 r.¹ – można wywnioskować, że w marcu 2026 r. upubliczniono rezultaty zautomatyzowanego audytu technicznego, z którego miałoby wynikać, że na 28 spośród 39 zbadanych domen internetowych związanych z łódzkim ekosystemem cyfrowym – w tym na portalu lodz.pl, stronach Urzędu Miasta Łodzi, Biuletynu Informacji Publicznej, Miejskiego Ośrodka Pomocy Społecznej (dalej: MOPS) oraz Orientarium Łódź – wdrożono mechanizmy analityczno-reklamowe bez wymaganej zgody użytkowników, a które polegały na przekazaniu danych prywatnym podmiotom zewnętrznym. W odpowiedzi Wiceprezydenta Łodzi na wymienioną interpelację radnych nie wykluczono zaistnienia opisanej sytuacji, wskazując jednocześnie, że wewnętrzna analiza nie pozwoliła jednoznacznie ustalić, w jaki sposób infrastruktura podmiotów zewnętrznych przetworzyła otrzymane dane użytkowników.

Szczególną wagę nadaje sprawie podejrzenie, że mechanizmy analityczno-reklamowe mogły funkcjonować także na stronie internetowej MOPS, a więc w serwisie wykorzystywanym przez osoby znajdujące się w trudnej sytuacji życiowej, poszukujące wsparcia socjalnego. Jeżeli ustalenia dotyczące ewentualnego działania mechanizmów śledzących na tej domenie znalazłyby w praktyce potwierdzenie, można byłoby mówić o ryzyku szczególnie istotnym z perspektywy ochrony godności i prywatności osób znajdujących się w kryzysowej sytuacji życiowej.

Opisane wyżej okoliczności, o ile znajdą potwierdzenie, mogłyby wskazywać na naruszenie art. 47 i art. 51 Konstytucji RP – prawa do prywatności oraz prawa do ochrony danych osobowych i kontroli nad danymi dotyczącymi własnej osoby; art. 5 ust. 1 lit. a oraz art. 6 RODO – zasady zgodności z prawem, rzetelności i przejrzystości przetwarzania danych osobowych, jak również art. 7 RODO – wymogów dotyczących ważności i dobrowolności zgody oraz ustawy z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz. U. z 2024 r. poz. 1221, z 2025 r. poz. 637, 820, z 2026 r. poz. 252, 815, dalej: PKE), w zakresie zasad instalowania plików cookies i korzystania z urządzeń końcowych użytkowników².

Podobnie wątpliwości budzi okoliczność, że takie same mechanizmy analityczno-reklamowe zdają się funkcjonować na stronie podmiotowej Biuletynu Informacji Publicznej. Należy bowiem zauważyć, że na gruncie art. 2 ust. 1 ustawy z dnia 6 września 2001 r. o dostępie do informacji publicznej³, prawo dostępu do informacji publicznej jest prawem każdej osoby. Tymczasem mechanizm blokujący może faktycznie wykluczać z bezwnioskowego dostępu do informacji publicznej zamieszczanej w BIP te osoby, które nie wyrażają zgody na przetwarzanie danych osobowych przez władze miejskie w celach reklamowych.

Co też istotne, § 11 ust. 2 rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 18 stycznia 2007 r. w sprawie Biuletynu Informacji Publicznej⁴ wyklucza możliwość zamieszczania reklam na stronie podmiotowej BIP. Jakkolwiek przepis ten nie odnosi się bezpośrednio do mechanizmów analityczno-reklamowych, trudno przyjąć, by ich wdrażanie na stronie podmiotowej BIP było zgodne z założeniami, wedle których BIP ma być utrzymywanym ze środków publicznych portalem służącym efektywnemu rozpowszechniania informacji publicznej w sposób powszechnie dostępny – nie zaś komercyjnemu pozyskiwaniu danych osobowych na cele reklamowe.

W piśmie do Rzecznika Stowarzyszenie wskazało ponadto na możliwe powiązania organizacyjne pomiędzy Urzędem Miasta Łódź, Stowarzyszeniem Łódzka Organizacja Turystyczna (operatorem systemu Karta Łodzianina oraz aplikacji Łódź.pl, z której korzysta ponad 350 tysięcy mieszkańców), a działającą w jego ramach spółką Łódź Media Group, deklarującą publicznie posiadanie dużych baz danych wykorzystywanych w celach marketingowych i reklamowych.

Ze względu na skalę podmiotową sprawy – dotyczącą, jak wskazuje Stowarzyszenie, około 700 tysięcy mieszkańców Łodzi korzystających z miejskich serwisów internetowych oraz ponad 350 tysięcy uczestników programu Karta Łodzianina – a także z uwagi na zaangażowanie w opisany mechanizm środków publicznych i podmiotów powiązanych z Urzędem Miasta Łódź, działając na podstawie art. 13 ust. 1 pkt 2 ustawy o Rzeczniku Praw Obywatelskich (Dz. U. z 2024 r. poz. 1264 ze zm.; dalej: ustawa o Rzeczniku), zwracam się do Pani Prezydent z prośbą o zajęcie stanowiska w sprawie oraz udzielenie odpowiedzi na następujące pytania:

1. czy upublicznione podejrzenia nieprawidłowości dotyczących stosowania mechanizmów analityczno-reklamowych znalazły potwierdzenie w wyniku przeprowadzonej przez Urząd Miasta Łódź kontroli wewnętrznej? W przypadku przeprowadzenia wskazanej analizy, uprzejmie proszę o udostępnienie Rzecznikowi jej kopii lub przedstawienie poczynionych ustaleń.

2. czy przeanalizowano w jakim zakresie dane osobowe użytkowników stron urzędowych, w tym strony internetowej MOPS w Łodzi, mogły zostać przekazane podmiotom trzecim przed wyrażeniem zgody?

3. czy przeanalizowano możliwość faktycznego ograniczenia bezwnioskowego dostępu do informacji publicznej do kręgu użytkowników strony podmiotowej BIP wyrażających zgodę na przetwarzanie danych osobowych, do którego mogło doprowadzić wdrożenie mechanizmu blokującego?

4. jakie podmioty pełnią funkcję administratora lub współadministratorów danych osobowych przetwarzanych w ramach systemu Karta Łodzianina oraz aplikacji Łódź.pl i czy zawarto stosowne uzgodnienia w rozumieniu art. 26 RODO pomiędzy Urzędem Miasta Łódź, a Stowarzyszeniem Łódzka Organizacja Turystyczna oraz Łódź Media Group?

5. czy dane osobowe mieszkańców gromadzone w ramach programu Karta Łodzianina są wykorzystywane do celów marketingowych lub reklamowych przez podmioty komercyjne powiązane z operatorem systemu, a jeśli tak – na jakiej podstawie prawnej i w jakim zakresie mieszkańcy są o tym informowani?

6. czy w związku z opisaną sprawą złożono zawiadomienie do Prezesa Urzędu Ochrony Danych Osobowych o możliwym naruszeniu ochrony danych osobowych w rozumieniu art. 33 RODO?

Jednocześnie proszę o udostępnienie Rzecznikowi treści umowy o Partnerstwie Publiczno-Prywatnym z dnia 28 października 2020 r. oraz Protokołu Konieczności nr 1/2023 z dnia 19 grudnia 2023 r. Dokumenty te mają zasadnicze znaczenie dla oceny podstaw prawnych, na podstawie których podmiot prywatny miał uzyskać możliwość korzystania z infrastruktury publicznej oraz danych mieszkańców. Proszę również o informację, czy przy ich zawieraniu oraz przy późniejszej rozbudowie systemu przeprowadzono ocenę skutków dla ochrony danych osobowych, o której mowa w art. 35 RODO.

Odpowiednie wyjaśnienia i informacje w odpowiedzi na niniejsze wystąpienia będą pomocne dla całościowej analizy sprawy przez Rzecznika. Uprzejmie proszę o ich terminowe udzielenie wraz z udostępnieniem odpowiednich dokumentów przytoczonych w piśmie.

Z poważaniem

Stanisław Trociuk Zastępca Rzecznika Praw Obywatelskich

/-wydano i podpisano elektronicznie/

Załącznik: – pismo „Stowarzyszenia Łódź Cała Naprzód!" z dnia 13 lipca 2026 r.

Do wiadomości: – Wnioskodawca – „Stowarzyszenie Łódź Cała Naprzód!"

Załączniki

• Wystąpienie Rzecznika Praw Obywatelskich z 12 sierpnia 2026 r., sygn. VII.501.120.2026.AK (PDF)

Kontekst sprawy

• Zgłoszenie do UODO i UKE: aktualizacja w sprawie lodz.pl i miejskich serwisów UMŁ
• Miasto przyznaje się do nieprawidłowości, ale winę zrzuca na Google i operatora (ŁOT), którego samo finansuje
• Wniosek do Rzecznika Praw Obywatelskich w sprawie masowego przetwarzania danych mieszkańców Łodzi
• Repozytorium dowodowe: audyt 39 domen miejskich