Złożyłem dziś wniosek do Rzecznika Praw Obywatelskich w sprawie masowego przetwarzania danych mieszkańców Łodzi bez zgody. Mimo że Wiceprezydent Miasta Łodzi oficjalnie przyznał w czerwcu nieprawidłowości w serwisach miejskich, a sprawę bada prokuratura, organy nadzoru (UODO, UKE) przez wiele miesięcy nie podjęły wobec mieszkańców żadnych widocznych działań. W liście otwartym wskazuję m.in. na rozbieżność między oświadczeniami UODO a Miasta Łodzi oraz na realne ryzyko utraty dowodów w związku z zapowiedzianym usuwaniem ‘starych i nieadekwatnych kodów’.

Łódź, 15 lipca 2026 r.

Biuro Rzecznika Praw Obywatelskich al. Solidarności 77 00-090 Warszawa

Wnioskodawca: Maciej Lesiak, mieszkaniec Łodzi, redaktor tytułu prasowego dadalo.pl (Wydawca Signal Dadalo Media), Łódź

Wniosek do Rzecznika Praw Obywatelskich o podjęcie sprawy

Przedmiot: wniosek o podjęcie sprawy w trybie art. 80 Konstytucji RP i ustawy z 15 lipca 1987 r. o Rzeczniku Praw Obywatelskich - dotyczy przetwarzania danych osobowych 1 mln (w tym ponad 350 tys. uczestników programu Karta Łodzianina) odwiedzających w serwisach internetowych Miasta Łodzi (w tym BIP), bierności organów nadzoru mimo potwierdzenia nieprawidłowości przez samo Miasto, warunków dostępu do Biuletynu Informacji Publicznej oraz ryzyka utraty materiału dowodowego.

Wprowadzenie

Prowadzone przeze mnie dziennikarskie śledztwo dotyczące przetwarzania danych mieszkańców w serwisach internetowych Miasta Łodzi zostało potwierdzone przez samą kontrolowaną instytucję. W piśmie z 30 czerwca 2026 r., stanowiącym odpowiedź na interpelację radnych Rady Miejskiej w Łodzi, Wiceprezydent Miasta Łodzi po raz pierwszy oficjalnie przyznał, że opisywane przeze mnie nieprawidłowości mogły mieć miejsce, zapowiedział działania naprawcze („zlecono usunięcie wszelkich starych i nieadekwatnych kodów") oraz przeprowadzenie własnego audytu.

Zwracam się do Pana Rzecznika, ponieważ mimo tego przyznania - oraz mimo że tę samą sprawę bada obecnie prokuratura, a ustalenia potwierdzili sygnaliści dostarczający dokumenty źródłowe - organy powołane do ochrony danych osobowych (Prezes UODO) oraz komunikacji elektronicznej (Prezes UKE) przez wiele miesięcy nie podjęły wobec mieszkańców żadnych widocznych działań. Jedynym mechanizmem, który wymusił jakąkolwiek korektę, okazała się interpelacja radnych - a nie państwowy nadzór.

I. Stan faktyczny (chronologicznie)

Maj 2025 r.: opublikowałem artykuł opisujący portal lodz.pl jako komercyjną infrastrukturę reklamową działającą pod szyldem serwisu publicznego (dadalo.pl).
6 listopada 2025 r.: złożyłem do Prezesa UODO obszerne (ok. 40 stron) zawiadomienie o podejrzeniu systemowych naruszeń RODO w ekosystemie portalu lodz.pl, zawierające 9 zarzutów - m.in. przetwarzania danych wrażliwych (art. 9 RODO), ukrytego współadministrowania (art. 26 RODO), stosowania pozornych banerów zgody oraz komercyjnej monetyzacji na stronach Biuletynów Informacji Publicznej. Zawiadomienie (sygn. DWKSN.523.9422.2025) zawierało wniosek o zabezpieczenie materiału dowodowego; uzupełniałem je pismami z 25 lutego i 10 marca 2026 r. (w marcu utworzyłęm serwis dowody.dadalo.pl z wynikiem audytu technicznego 41 domen miejskich). [Załącznik 4]
Styczeń 2026 r.: w rozmowie telefonicznej z UODO uzyskałem informację, że sprawa została przydzielona pracownikowi merytorycznemu (radcy prawnemu prowadzącemu sprawę).
Luty 2026 r.: Przewodniczący Rady Miejskiej w Łodzi wystosował do radnych pismo wzywające do szczególnej ostrożności w zakresie RODO i przetwarzania danych, w tym do zaprzestania wynoszenia danych wrażliwych. W tym samym okresie skontaktowała się ze mną „Gazeta Wyborcza" w związku z wątkiem ustawianych przetargów reklamowych ŁOT w kontekście mojego pierwszego artykułu z maja 2025. Praktycznie do tego momentu trzymałem w tajemnicy zawiadomienie uznając, iż leży to w interesie sprawy; wtedy pierwszy raz przekazałem redakcji informacje o sprawie.
6 marca 2026 r.: „Gazeta Wyborcza" opublikowała materiał („Setki tysięcy Łodzian śledzonych na ogromną skalę. Reklamowe kombinacje ŁOT"), w którym rzecznik prasowy UODO publicznie potwierdził, że sprawa wpłynęła do urzędu i jest analizowana - a więc organ prowadził w niej postępowanie. GW opisała, potwierdzając w UODO, iż sprawa jest procedowana oraz konfrontując tezy zarzutów z przedstawicielami UMŁ. Przedstawiciele UMŁ oraz ŁOT (Łódzkiej Organizacji Turystycznej) stwierdzili, iż nie ma żadnych problemów technicznych, prawnych i wszystko jest legalne. [Załącznik 7]
13 marca 2026 r.: złożyłem do Prezesa UKE zawiadomienie o podejrzeniu naruszenia art. 399 ustawy - Prawo komunikacji elektronicznej (zapisywanie informacji w urządzeniach końcowych bez zgody) na 29 z 41 przebadanych domen miejskich, z wnioskiem o zabezpieczenie danych technicznych. W mojej opinii skala zjawiska oraz funkcjonowanie tych mechanizmów śledzenia na BIP kwalifikowałą się do procedowania przez UKE w kontekście technicznym. [Załącznik 5]
27 marca 2026 r.: UKE (pismo DB.WPZN.622.18.2026.2) poinformowało, że kontrolę wszczyna się wyłącznie z urzędu (art. 423 PKE), wystąpienia obywateli nie wiążą organu, zabezpieczenie dowodów możliwe jest wyłącznie w ramach formalnie wszczętego postępowania, a o ewentualnym wszczęciu kontroli wnioskodawca nie zostanie poinformowany. [Załącznik 3]
30 marca 2026 r.: niezależnie złożyłem do Samodzielnego Działu do Spraw Cyberprzestępczości i Informatyzacji Prokuratury Regionalnej w Poznaniu zawiadomienie o uzasadnionym podejrzeniu popełnienia przestępstw (art. 287 § 1 k.k., art. 286 § 1 k.k., art. 107 u.o.d.o., ewentualnie art. 231 § 1 k.k.) w związku z możliwym przesyłaniem do infrastruktury reklamowej Google sygnałów. Sprawa została przekazana według właściwości do Łodzi, a następnie do Ostrowa Wielkopolskiego. Obecnie jestem w trakcie aktualizacji tych wątków o nowe fakty dostarczone przez sygnalistów. [Załącznik 8]
20 kwietnia 2026 r.: wobec braku informacji o czynnościach organu skierowałem do Prezesa UODO ponaglenie w rozumieniu art. 37 KPA, wskazując m.in. przekroczenie terminu z art. 78 ust. 2 RODO oraz asymetrię informacyjną (organ udzielił informacji mediom, nie skarżącemu). [Załącznik 6]
23 kwietnia 2026 r.: Dyrektor Departamentu Kontroli i Naruszeń UODO odpowiedział, że: (a) w sprawie nie zostało wszczęte postępowanie administracyjne z urzędu, wobec czego przepisy KPA, w tym art. 37, nie mają zastosowania; (b) moja korespondencja nie stanowi skargi, ponieważ dotyczy naruszeń systemowych, a nie przetwarzania moich danych; (c) podjęcie działań jest autonomiczną decyzją organu; (d) w razie podjęcia działań nie będę stroną postępowania i nie zostanę poinformowany o jego przebiegu ani wyniku. [Załącznik 2]
22 maja 2026 r.: troje radnych Rady Miejskiej w Łodzi (S. Bulak, M. Buchali, P. Cieplucha) złożyło interpelację opartą na materiale mojego audytu, zawierającą szczegółowe pytania techniczne (identyfikatory GA4, kontenery GTM, parametr Consent Mode, współadministrowanie, profilowanie w Karcie Łodzianina).
W okresie prowadzenia sprawy moje ustalenia zaczęli niezależnie potwierdzać insiderzy i sygnaliści, dostarczając dokumenty źródłowe i informacje wewnętrzne dotyczące badanych podmiotów. Jestem w kontakcie nie tylko z radnymi z różnych opcji politycznych zatroskanych skalą nieprawidłowości, ale także z NGOs zajmującymi się sprawami miejskimi, przetwarzaniem danych. Z uwagi na bierność organu PUODO w zakresie jaki sygnalizowałem również w innych zawiadomieniach (sprawa Orientarium Łódź) nawiązuję kontakt z organizacjami międzynarodowymi ponieważ przetwarzane są również dane turystów (Karta Turysty oraz serwisy miejskie WWW).
30 czerwca 2026 r.: Wiceprezydent Miasta Łodzi w odpowiedzi na interpelację: (a) po raz pierwszy oficjalnie przyznał, że udokumentowany w audycie stan techniczny (transmisja danych przy statusie zgody „not set") mógł mieć miejsce; (b) zapowiedział przeprowadzenie własnego audytu; (c) poinformował, że „zlecono usunięcie wszelkich starych i nieadekwatnych kodów"; (d) jednocześnie oświadczył, że miasto „nie odnotowało skarg ani zawiadomień dotyczących prywatności i bezpieczeństwa", a wewnętrzną analizę zainicjowała dopiero interpelacja. Warto jednak zwrócić uwagę na zakres pytań radnych oraz wymijające odpowiedzi Wiceprezydenta, który odsyła do innych podmiotów twierdząc, że nie jest stroną, a przecież te podmioty zostały powołane przez UMŁ, albo są poprzez umowy nadzorowane przez UMŁ. Pokazuje to problem asymetrii informacyjnej oraz mechanizmów pozorowania partycypacji społecznej. [Załącznik 1]

II. Bierność organów mimo potwierdzenia nieprawidłowości

Sytuacja na dzień sporządzenia niniejszego wniosku jest następująca. Kontrolowana instytucja - Miasto Łódź - sama przyznała, że nieprawidłowości mogły mieć miejsce, i zapowiedziała ich usuwanie. Prokuratura prowadzi postępowanie w kierunku przestępstw. Sygnaliści dostarczyli dokumenty potwierdzające ustalenia. Mimo to żaden z dwóch organów nadzoru wyspecjalizowanych w ochronie danych (UODO) i komunikacji elektronicznej (UKE) nie podjął wobec mieszkańców widocznych działań, a UODO - jak wynika z pisma z 23 kwietnia 2026 r. - stoi na stanowisku, że zawiadamiający nie ma prawa do informacji o przebiegu sprawy.

Osobno wskazuję na rozbieżność, której jako zawiadamiający nie jestem w stanie rozstrzygnąć: z publicznej wypowiedzi rzecznika UODO (pkt 5) wynika, że postępowanie w sprawie się toczyło; z oświadczenia Wiceprezydenta z 30 czerwca 2026 r. (pkt 13) wynika, że Miasto do tego dnia nie odnotowało w tej sprawie żadnych skarg ani zawiadomień. Oznacza to, że albo czynności organu przez blisko osiem miesięcy od złożenia zawiadomienia nie objęły podmiotu kontrolowanego w sposób dla niego dostrzegalny, albo oświadczenie złożone radnym mija się ze stanem faktycznym. Każda z tych możliwości wymaga wyjaśnienia.

III. Problem systemowy

Z pisma UODO z 23 kwietnia 2026 r. (pkt 10) wynika następująca konstrukcja prawna: obywatel, który udokumentuje naruszenie dotyczące wyłącznie własnych danych, dysponuje skargą z art. 77 RODO, otwierającą postępowanie administracyjne z rygorami KPA. Obywatel, który udokumentuje naruszenie systemowe - dotyczące setek tysięcy osób - dysponuje wyłącznie zawiadomieniem, które nie podlega żadnym terminom, nie podlega przepisom KPA, nie daje statusu strony, nie rodzi prawa do informacji o podjętych czynnościach ani o wyniku, a decyzja o podjęciu działań jest w pełni dyskrecjonalna. Identyczna konstrukcja obowiązuje na gruncie art. 423 PKE (pkt 7).

Skutek: skuteczność ochrony wynikającej z art. 47 i 51 Konstytucji RP oraz art. 8 Karty Praw Podstawowych UE jest odwrotnie proporcjonalna do skali naruszenia. Im więcej osób dotyczy naruszenie, tym słabsza pozycja zgłaszającego. W niniejszej sprawie jedyną czynnością, po której nastąpiła obserwowalna korekta w serwisach miejskich (pkt 11 i 13), była interpelacja radnych.

Podkreślam przy tym, że nawet jeżeli organ odmawia moim pismom statusu skargi wszczynającej postępowanie administracyjne w trybie art. 77 RODO, pozostają one co najmniej wnioskiem w rozumieniu art. 63 Konstytucji RP oraz Działu VIII (art. 221 i nast.) Kodeksu postępowania administracyjnego. Zgodnie z utrwalonym orzecznictwem sądów administracyjnych pisma obywateli, które nie spełniają wymogów do wszczęcia postępowania jurysdykcyjnego, powinny być rozpoznawane w trybie skargowo-wnioskowym, co nakłada na organ obowiązek załatwienia sprawy bez zbędnej zwłoki (art. 237 § 1 KPA) oraz zawiadomienia wnoszącego o sposobie jej załatwienia. Z posiadanej przeze mnie korespondencji nie wynika, by organ zastosował choćby ten minimalny reżim. Oznacza to, że UODO uchyla się nie tylko od rygorów proceduralnych RODO, lecz również od podstawowych gwarancji wynikających z konstytucyjnego prawa petycji.

IV. Dostęp do informacji publicznej pod warunkiem śledzenia (art. 61 Konstytucji RP)

Ten wątek uważam za najpoważniejszy konstytucyjnie i proszę o szczególną uwagę Pana Rzecznika.

Biuletyn Informacji Publicznej UMŁ (bip.uml.lodz.pl oraz BIP innych jednostek wskazane w audycie) jest urzędowym publikatorem teleinformatycznym w rozumieniu ustawy z 6 września 2001 r. o dostępie do informacji publicznej oraz rozporządzenia MSWiA z 18 stycznia 2007 r. Jego funkcją ustrojową jest realizacja prawa obywatela do informacji o działalności władzy publicznej (art. 61 Konstytucji RP), a więc narzędzia kontroli obywatela nad władzą. Obywatel nie dysponuje alternatywnym, równoważnym kanałem dostępu do publikowanych tam informacji.

Audyt wykazał (Załącznik 6), że na tej właśnie domenie - służącej kontroli władzy - narzędzia analityczne i reklamowe Google uruchamiały się i wysyłały dane, zanim użytkownik wykonał jakąkolwiek czynność. Mechanizm rzekomej zgody oparto na niewspieranej od ponad dekady bibliotece programistycznej, która nie blokowała tych narzędzi. W piśmie z 30 czerwca 2026 r. Miasto określiło to rozwiązanie jako „autorskie narzędzie stworzone na potrzeby UMŁ", co pozostaje w bezpośredniej sprzeczności z treścią kodu źródłowego serwowanego z serwerów miejskich, możliwą do samodzielnej weryfikacji.

Skutek jest ustrojowo nie do przyjęcia: obywatel, który chciał skorzystać z konstytucyjnego prawa do informacji o władzy, był w tym samym momencie - bez swojej wiedzy i zgody - poddawany komercyjnemu śledzeniu na rzecz podmiotów trzecich. Narzędzie służące kontroli władzy przez obywatela zostało przekształcone w narzędzie obserwacji obywatela. Dostęp do informacji publicznej nie może być faktycznie warunkowany poddaniem się śledzeniu - a taki warunek, choć nigdzie niezapisany, został technicznie stworzony.

Wątek ten narusza nie tylko art. 61 Konstytucji RP. Zgodnie z art. 51 ust. 2 Konstytucji RP „władze publiczne nie mogą pozyskiwać, gromadzić i udostępniać innych informacji o obywatelach niż niezbędne w demokratycznym państwie prawnym". Uruchamianie na urzędowym publikatorze teleinformatycznym narzędzi, które pozyskują dane telemetryczne obywateli i udostępniają je podmiotom komercyjnym w celach reklamowych, w sposób oczywisty wykracza poza zakres informacji niezbędnych do realizacji zadań publicznych - a zatem stanowi bezpośrednie naruszenie normy konstytucyjnej wyznaczającej granice ingerencji władzy w prywatność obywatela.

V. Ryzyko utraty materiału dowodowego

O zabezpieczenie konfiguracji systemów, historii wersji kontenerów Google Tag Manager, ustawień Consent Mode i logów wnosiłem do obu organów od lutego 2026 r. (pkt 2 i 6). UKE odpowiedziało, że bez wszczętego postępowania zabezpieczenia nie dokona (pkt 7); z żadnego posiadanego przeze mnie dokumentu nie wynika, by zabezpieczenia dokonał którykolwiek organ. Jednocześnie Miasto zapowiedziało „usunięcie wszelkich starych i nieadekwatnych kodów" (pkt 13). Materiał pozwalający ustalić pełen zakres i historię naruszeń - istotny nie tylko dla postępowania UODO, ale i dla prowadzonego postępowania prokuratorskiego - może być zatem obecnie nadpisywany. Redakcja dadalo.pl utrzymuje własne repozytoria dowodowe, nie zastępują one jednak zabezpieczenia urzędowego.

VI. Wnioski

Wnoszę o:

wystąpienie do Prezesa UODO - w trybie art. 13 ust. 1 pkt 2 ustawy o RPO - o wyjaśnienie, jakie czynności podjęto w sprawie od 6 listopada 2025 r., czy objęły one podmioty wskazane w zawiadomieniu oraz czy i kiedy zabezpieczono materiał dowodowy jak wnioskowałem oraz czy wystąpiły do podmiotów jakie wskazałem o wprowadzenie zmian tak, aby zapewnić ochronę danych - a także o niezwłoczne podjęcie działań mających na celu zabezpieczenie tego materiału przed jego nadpisaniem w związku z zapowiedzianymi przez Miasto pracami porządkowymi. Mowa także o korespondencji e-mail, protokołach, danych teleinformatycznych z systemu obiegu dokumentów itp.;
wystąpienie do Prezydenta Miasta Łodzi - w trybie art. 13 ust. 1 pkt 2 ustawy o RPO - o wyjaśnienie podstawy oświadczenia z 30 czerwca 2026 r., że „nie odnotowano skarg ani zawiadomień", w kontekście publicznie potwierdzonego postępowania UODO, oraz o wyjaśnienie zgodności warunków dostępu do miejskiego BIP z art. 61 i art. 51 ust. 2 Konstytucji RP (pkt IV);
rozważenie wystąpienia generalnego - w trybie art. 16 ust. 2 pkt 1 ustawy o RPO - dotyczącego problemu opisanego w pkt III: braku jakiegokolwiek trybu - terminowego, podlegającego kontroli, gwarantującego minimum informacji zwrotnej - dla obywatela zawiadamiającego organy nadzoru o masowych naruszeniach ochrony danych;
zwrócenie uwagi właściwych organów (m.in. Prokuratura) na pilną potrzebę zabezpieczenia materiału dowodowego opisanego w pkt V, zanim zostanie nadpisany w związku z zapowiedzianymi pracami porządkowymi Miasta.

VII. Informacje uzupełniające

Równolegle wyczerpuję dostępne mi środki indywidualne: skargę w trybie art. 77 RODO we własnej sprawie oraz wnioski o dostęp do danych w trybie art. 15 RODO. Niniejszy wniosek dotyczy wyłącznie kwestii, których środki indywidualne z definicji nie obejmują. Wniosek ma charakter listu otwartego i zostaje opublikowany na dadalo.pl; pozostaję do dyspozycji z pełną dokumentacją techniczną i prawną.

Z wyrazami szacunku,

Maciej Lesiak

Załączniki:

Pismo Wiceprezydenta Miasta Łodzi z 30 czerwca 2026 r. (odpowiedź na interpelację radnych) DSiP-BPM-IV.0003.1.2026DSiP-BPM-IV .0003.1.2026
Pismo UODO z 23 kwietnia 2026 r. (Dyrektor Departamentu Kontroli i Naruszeń) DKN.5101.148.2026
Pismo UKE z 27 marca 2026 r. (DB.WPZN.622.18.2026.2)
Zawiadomienie do UODO z 6 listopada 2025 r. (DWKSN.523.9422.2025) wraz z uzupełnieniami z 25.02 i 10.03.2026 r.
Zawiadomienie do UKE z 13 marca 2026 r.
Ponaglenie do UODO z 20 kwietnia 2026 r.
Dokumentacja audytu technicznego oraz wykaz publikacji prasowych („Gazeta Wyborcza", marzec 2026) - https://dowody.dadalo.pl/lodz-rodo-2025/
pełną dokumentację wydam na żądanie organu: Zawiadomienie do Prokuratury Regionalnej w Poznaniu z 30 marca 2026 r. (z prośbą o nadzór Prokuratury Krajowej) następnie przekazane do Prokuratora Okręgowego Sygn. Akt: 2006-1.Ko.21.2026 Prokuratura Regionalna w Łodzi 1 Wydział d/s Przestępczości Gospodarczej, a później przekierowane do Ostrowa Wielkopolskiego.