Source: https://www.uodo.gov.pl/decyzje/ZWAD.405.85.2018
Timestamp: 2019-11-19 06:07:21+00:00
Document Index: 98609894

Matched Legal Cases: ['art. 105', 'art. 58', 'art. 34', 'art. 52', 'art. 34', 'art. 61', 'art. 58', 'art. 34', 'art. 34', 'art. 105']

Warszawa, dnia 11 marca 2019 r.
ZWAD.405.85.2018
Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257 ze zm.), zwanej dalej „Kpa”, w związku z art. 58 ust. 2 lit. e rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119.1), zwanego dalej „ogólnym rozporządzeniem o ochronie danych” lub „RODO”, po przeprowadzeniu postępowania administracyjnego w sprawie niezawiadomienia przez Y. S.A., osoby, której dotyczy naruszenie ochrony danych osobowych, niezgodnie z art. 34 ust. 2 RODO, Prezes Urzędu Ochrony Danych Osobowych
W dniu […] lipca 2018 r. Y. S.A., zwane dalej również „T.” lub „Y. S.A.”, złożył do Prezesa Urzędu Ochrony Danych Osobowych zgłoszenie naruszenia ochrony danych osobowych (data stwierdzenia: […] lipca 2018 r. godz. […]). Naruszenie polegało na przesłaniu pocztą tradycyjną dokumentacji ubezpieczeniowej, w wyniku czego dane osobowe klienta zostały udostępnione osobie nieuprawnionej. W zgłoszeniu administrator podał, że naruszenie dotyczyło takich danych jak: imię, nazwisko, adres zameldowania, numer PESEL, numer telefonu, adres e-mail, numer rachunku bankowego, imiona rodziców, numer dowodu osobistego i termin ważności, data urodzenia, płeć, dane o stanie zdrowia w związku ze zgłoszoną szkodą, wzrost, kolor oczu, data wydania dowodu oraz numer szkody. Administrator ocenił ryzyko naruszenia praw i wolności osoby, której dane dotyczą, jako średnie i zrezygnował z zawiadomienia tej osoby o zdarzeniu.
W dniu […] sierpnia 2018 r. Prezes Urzędu Ochrony Danych Osobowych na podstawie art. 52 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U.2018.1000 z dnia 2018.05.24 z późn. zm.), zwanej dalej „ustawą o ochronie danych osobowych”, oraz art. 34 ust. 4 RODO, skierował do Y. S.A. wystąpienie - w którym z uwagi na wysokie ryzyko naruszenia praw i wolności osoby, której dane dotyczą - wezwał do zawiadomienia tej osoby o naruszeniu ochrony danych osobowych i przekazania jej zaleceń odnośnie zminimalizowania potencjalnych negatywnych skutków zaistniałego naruszenia.
W odpowiedzi na powyższe wystąpienie, Y. S.A. pismem z dnia […] września 2018 r. wskazała, że dokumentacja z danymi trafiła do kancelarii zajmującej się pomocą osobom poszkodowanym w wypadkach, z którą administrator współpracuje od wielu lat i ma o danym podmiocie wyrobioną bardzo dobrą opinię.
[…] lutego 2019 r. na podstawie art. 61 § 1 i 4 Kpa w związku z art. 58 ust. 2 lit. e) RODO wszczęte zostało postępowanie administracyjne w sprawie niezawiadomienia przez Y. S.A. osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych zgodnie z art. 34 RODO.
Następnie, pismem z dnia […] lutego 2019 r. (sygn. […]) T. poinformowało, Prezesa UODO że osoba, której dane dotyczą, została zawiadomiona korespondencyjnie o naruszeniu ochrony danych osobowych w dniu […] lutego 2019 r. T. przekazało też zanonimizowaną treść zawiadomienia, zgodnie z którym osobie, której dane dotyczą, zostały przekazane następujące informacje:
na czym polegało naruszenie ochrony danych osobowych;
jakie są jego możliwe negatywne konsekwencje;
jakie środki w celu zminimalizowania ewentualnych negatywnych skutków naruszenia ochrony danych osobowych może zastosować osoba, której dane dotyczą;
jakie środki zastosował administrator w celu zaradzenia naruszeniu ochrony danych osobowych;
imię i nazwisko oraz adres e-mail inspektora ochrony danych osobowych.
Mając na uwadze fakt powiadomienia przez administratora osoby, której dane dotyczą o naruszeniu ochrony danych osobowych zgodnie z art. 34 ust. 2 RODO oraz powołane wyżej uregulowania prawne stwierdzić należy, iż postępowanie w niniejszej sprawie stało się bezprzedmiotowe i w konsekwencji konieczne jest, na podstawie art. 105 § 1 Kpa, wydanie decyzji o jego umorzeniu w całości.
Wytworzył informację: dr Edyta Bielak–Jomaa 2019-03-11
Wprowadził‚ informację: Miłosz Szymański 2019-03-29 12:45:18
Ostatnio modyfikował: Edyta Madziar 2019-04-25 14:35:54