Source: http://www.abi-expert.pl/wydania/styczen-marzec-2019/art,2256,rodo-na-co-dzien.html
Timestamp: 2019-05-21 03:15:27+00:00
Document Index: 29748217

Matched Legal Cases: ['art. 33', 'art. 33', 'art. 33', 'art. 34', 'art. 4', 'art. 4', 'art. 29', 'art. 4', 'art. 29']

19-02-2019 Autor: Anna Matusiak-Wekiera, Kamila Wałęska, Justyna Bieda
Problem z platformą internetową, prowadzenie zeszytu wejść i wyjść, procedura rozwodowa w świetle rodo – kiedy mamy do czynienia z naruszeniem ochrony danych osobowych a kiedy nie?
Problem z platformą internetową
Odpowiada: Anna Matusiak-Wekiera
Czy tymczasowe zawieszenie platformy, na której działają usługi sklepu internetowego, wynikające z awarii systemu i powodujące brak dostępu użytkowników do swoich kont, stanowi naruszenie ochrony danych osobowych?
Nie każde zdarzenie z zakresu bezpieczeństwa danych osobowych stanowi naruszenie ochrony danych, z którym rodo wiąże wskazane w art. 33–34 obowiązki. Do tych obowiązków należy:
udokumentowanie każdego naruszenia ochrony danych bez względu na ocenę ryzyka naruszenia praw lub wolności osób fizycznych (art. 33 ust. 5);
zawiadomienie organu nadzorczego tylko o takich naruszeniach, które wywołują prawdopodobieństwo wystąpienia ryzyka naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1);
zawiadomienie osoby fizycznej o naruszeniach, które powodują ryzyko naruszenia praw lub wolności osób fizycznych w stopniu wysokim (art. 34 ust. 1).
Zgodnie z definicją z art. 4 pkt 12 za naruszenie ochrony danych uznaje się te zdarzenia, które wywołują skutek w postaci przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Z definicji wskazanej w art. 4 pkt 12 nie wynika jasno, czy przejściowa utrata dostępności do danych osobowych stanowi naruszenie ochrony danych i rodzi wspomniane obowiązki.
Czy chodzi tutaj wyłącznie o „utracenie danych osobowych”, które jest rozumiane jako ich usunięcie? Przejściowa utrata dostępności do danych osobowych może wynikać z przypadkowego zdarzenia, takiego jak np. awaria zasilania, albo ataku typu „odmowa usługi”, który stanowi już działanie o charakterze bezprawnym, ale może również być następstwem planowanych działań administratora danych, jak np. prace konserwacyjne, których wykonanie jest konieczne do prawidłowego świadczenia usługi. W tym zakresie Grupa Robocza art. 29 (WP 250), dostrzegając tę trudność interpretacyjną, wskazała, że każde naruszenie dostępności danych, bez względu na czas trwania (chwilowe albo trwałe), stanowi naruszenie ochrony danych osobowych, o którym mowa w art. 4 pkt 12 rodo, gdyż może wywrzeć istotny wpływ na prawa i wolności osób fizycznych. Jednocześnie Grupa Robocza art. 29 wskazała, że jeśli skutek w postaci czasowej niedostępności danych wynika z zaplanowanych działań administratora np. o charakterze serwisowym, to zdarzenie takie jako niebędące przypadkowe lub bezprawne nie mieści się już w definicji naruszenia ochrony danych.