Łodzianie śledzeni na miejskich stronach? Informatyk przekazał RPO kolejne dowody

Miasto: dane trafiały do Google przez błąd

Do sprawy wracamy po naszym materiale z 18 września. Przypomnijmy: Rzecznik Praw Obywatelskich zwrócił się do prezydent Łodzi Hanny Zdanowskiej o wyjaśnienia dotyczące przetwarzania danych mieszkańców na miejskich stronach. Pytał m.in., czy informacje o użytkownikach mogły trafiać do zewnętrznych podmiotów jeszcze przed wyrażeniem zgody. Link do artykułu:

My też poprosiliśmy o wyjaśnienia. Magistrat przyznał, że w miejskich serwisach wystąpił błąd techniczny.

- Miasto przeprowadziło analizę kwestii wskazanych przez Rzecznika Praw Obywatelskich. Ustalono, że w przypadku serwisu analitycznego Google, wskutek błędu technicznego, przekazywany był zbiór danych z flagą „not set”, która nie daje sygnału o udzielonej zgodzie i blokuje możliwość wykorzystania tych danych przez Google. Nie stwierdzono przekazywania innych danych ani innym podmiotom trzecim

- przekazał nam Oddział Prasowy UMŁ.

Magistrat zapewniał też, że dane użytkowników Karty Łodzianina nie są sprzedawane ani przekazywane reklamodawcom, a system przechodził oceny skutków dla ochrony danych i zewnętrzny audyt zgodności z RODO.

Lesiak: odpowiedzi miasta nie potwierdza mój audyt

Teraz głos ponownie zabiera Maciej Lesiak. Informatyk przygotował obszerne stanowisko do RPO, w którym odpowiada na wyjaśnienia wiceprezydenta UMŁ.

Jednym z głównych punktów sporu pozostaje Google. Miasto przekonuje, że flaga „not set” miała blokować możliwość wykorzystania danych. Lesiak odpowiada, że czym innym jest późniejsze ich wykorzystanie, a czym innym samo wysłanie.

Według jego audytu np. na stronie łódzkiego MOPS-u jeszcze przed reakcją użytkownika do Google miały trafiać m.in. identyfikator przeglądarki, adres odwiedzanej strony i informacje techniczne o urządzeniu.

Co więcej, dane miały trafiać nie tylko do Google Analytics, ale również do infrastruktury reklamowej Google.

- Odpowiedź Miasta nie znajduje zatem potwierdzenia w zarejestrowanym ruchu sieciowym

- twierdzi Lesiak.

Strona MOPS pod lupą. „Mam bezpośredni dowód”

Sporo miejsca Lesiak poświęca stronie Miejskiego Ośrodka Pomocy Społecznej w Łodzi.

- Dysponuję bezpośrednim dowodem, że odpowiedź ta nie odpowiada stanowi faktycznemu tej konkretnej domeny

- zapewnia.

Najprościej mówiąc: według informatyka wystarczyło wejść na stronę MOPS-u. Zanim użytkownik zdążył zgodzić się na cookies, informacje o jego wizycie miały już zostać wysłane dalej.

Lesiak twierdzi, że dane pozwalały rozpoznać konkretną przeglądarkę i powiązać z nią odwiedzoną podstronę.

- To szczególnie istotne w przypadku MOPS-u, bo z tej strony korzystają osoby znajdujące się często w trudnej sytuacji życiowej. Tymczasem dane o konkretnej wizycie mogły zostać powiązane z identyfikatorem przeglądarki

- wskazuje.

Czy to znaczy, że ktoś, kto sprawdzał na stronie MOPS informacje o zasiłku, mógł później dostać reklamę chwilówki? Technicznie taki scenariusz jest możliwy, jeśli dane o wizycie trafiły do systemu reklamowego i zostały wykorzystane do profilowania. Lesiak nie dowodzi jednak, że w Łodzi rzeczywiście tak się działo.

Podobne wątpliwości zgłasza w przypadku Biuletynu Informacji Publicznej. Jego zdaniem mieszkaniec może wejść na miejską stronę po informację, a w tle mogą już uruchamiać się mechanizmy przekazujące dane o tej wizycie dalej.

Karta Łodzianina. Dane nie są sprzedawane, ale można na nich budować reklamę

Kolejny spór dotyczy Karty Łodzianina. To miejski program, ale za jego obsługę odpowiada Łódzka Organizacja Turystyczna. Działająca przy niej Łódź Media Group sprzedaje kampanie reklamowe kierowane do użytkowników miejskich kanałów.

Magistrat zapewnia, że dane użytkowników Karty nie są sprzedawane ani przekazywane reklamodawcom. I Lesiak nie twierdzi, że firmy dostają listę nazwisk, telefonów czy adresów mieszkańców. Problem jest inny.

Z oferty Łódź Media Group wynika, że reklamy można kierować do bardzo konkretnych grup użytkowników. W materiałach promocyjnych wymieniono m.in. 100 tys. aktywnych użytkowników aplikacji Łódź.pl, 174 tys. adresów e-mail i 170 tys. numerów telefonów.

Reklamodawca może wybrać odbiorców np. według wieku, płci, zainteresowań, sytuacji rodzinnej czy miejsca zamieszkania.

Najprościej mówiąc: firma nie musi dostać danych Kowalskiego. Może zapłacić za to, żeby jej reklama trafiła do określonej grupy mieszkańców, a system sam wybierze odbiorców.

Lesiak wskazuje też, że miasto nie było całkowicie poza tym mechanizmem. Według dokumentów działania marketingowe partnerów programu wymagały akceptacji miasta, a przedstawiciele UMŁ uczestniczyli w ustalaniu grup docelowych kampanii.

Miasto mogło kontrolować system. Lesiak: nie robiło tego

Zdaniem Lesiaka to jeden z najważniejszych elementów sprawy. Z umowy o partnerstwie publiczno-prywatnym zawartej między Miastem Łódź a Łódzką Organizacją Turystyczną wynika bowiem, że miasto zastrzegło sobie możliwość przeprowadzania kompleksowych kontroli systemu oraz zlecania audytów zewnętrznych. Według Lesiaka z tego prawa nie korzystało.

Tymczasem Karta Łodzianina przestała być tylko programem zniżkowym. Po zmianach z 2024 roku system rozszerzono m.in. o sprzedaż biletów, wydarzenia, obsługę mieszkańca i odpady komunalne.

Lesiak twierdzi również, że nie znalazł nowej kompleksowej oceny skutków dla ochrony danych obejmującej tę rozbudowę, mimo że urząd informował o corocznych ocenach całego projektu.

Nie korzysta z Karty od pięciu lat. SMS-y nadal dostaje

Lesiak podaje też własny przykład.

- Osobiście jako mieszkaniec uczestniczyłem w programie Karta Łodzianina na początku jego funkcjonowania i podałem wówczas swój numer telefonu. Od pięciu lat nie korzystam z Karty. Mimo to nadal otrzymuję wiadomości SMS o inwestycjach deweloperskich

- mówi.

Ostatnią taką wiadomość dostał 6 maja 2026 roku. Nadawcą był „MediaLodz”, a SMS dotyczył targów domów.

Informatyk zestawia to z raportem ŁOT za 2024 rok, zgodnie z którym przeprowadzono anonimizację kont nieaktywnych od 2021 roku. Pyta więc, czy objęła ona również dane kontaktowe wykorzystywane do marketingu.

Brak kontroli i prokuratura

Łodzianin podkreśla również, że miasto samo przyznało, iż nie przeprowadzało kontroli ani audytów dotyczących ochrony danych.

- Wykonawca operuje na danych blisko pół miliona kont, a miasto nie prowadziło niezależnej weryfikacji tego systemu. Taki brak nadzoru może oznaczać ryzyko wysokich kar ze strony UODO i roszczeń ze strony mieszkańców

- wskazuje.

Dodaje, że we wrześniu 2026 roku jest przesłuchiwany przez prokuraturę w sprawach związanych z tym materiałem.

- Przygotowuję też odrębne zawiadomienia dotyczące możliwego poświadczenia nieprawdy w dokumentach urzędowych, ewentualnego niedopełnienia obowiązków i niegospodarności. Ostateczna ocena należy jednak do właściwych organów ścigania

- zaznacza.

- Dokumentowana przeze mnie sprawa dawno przestała być tylko technicznym sporem o pliki cookies. Stała się historią o braku elementarnego nadzoru nad systemem, w którym krążą dane setek tysięcy łodzian. Jeśli miasto nie posiada narzędzi ani dokumentów, by udowodnić niezależną weryfikację własnej, z założenia, aplikacji, to czy Karta Łodzianina jest jeszcze miejską usługą?

- kwituje Maciej Lesiak.