Source: https://www.uodo.gov.pl/decyzje/ZWAD.405.25.2018
Timestamp: 2020-06-03 19:40:05
Legal References Found: art. 104
 art. 58
 art. 34
 art. 34
 art. 52
 art. 34
 art. 52
 art. 61
 art. 58
 art. 34
 art. 34
 art. 33
 art. 52
 art. 34
 art. 33

Document Content:
ZWAD.405.25.2018
Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257 ze zm.), zwanej dalej „Kpa”, w związku z art. 58 ust. 2 lit. e rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119.1), zwanego dalej „ogólnym rozporządzeniem o ochronie danych” lub „RODO”, po przeprowadzeniu postępowania administracyjnego w sprawie niezawiadomienia przez Y. S.A., osoby, której dotyczy naruszenie ochrony danych osobowych, niezgodnie z art. 34 ust. 2 RODO, Prezes Urzędu Ochrony Danych Osobowych
W dniu […] lipca 2018 r. pełnomocnik Y. S.A., zwanego dalej również „T.” lub „Y. S.A” złożył do Prezesa Urzędu Ochrony Danych Osobowych zgłoszenie naruszenia ochrony danych osobowych (data stwierdzenia: […] lipca 2018 r. godz. […]). Naruszenie polegało na przesłaniu wiadomości e-mail dotyczącej jednego z klientów Y. S.A. oraz osoby uposażonej na niewłaściwy adres poczty elektronicznej, w wyniku czego dane osobowe klienta oraz imię i nazwisko osoby uposażonej zostały udostępnione osobie nieuprawnionej. W zgłoszeniu administrator podał, że naruszenie dotyczyło takich danych jak: dane podmiotu ubezpieczającego (nazwa, adres), imię i nazwisko ubezpieczonego, data urodzenia, numer PESEL, imię i nazwisko osoby uposażonej oraz numer polisy. Administrator ocenił ryzyko naruszenia praw i wolności osoby, której dane dotyczą, jako średnie i zrezygnował z zawiadomienia tej osoby o zdarzeniu wskazując, że po naruszeniu administrator zastosował środki eliminujące prawdopodobieństwo wystąpienia wysokiego ryzyka naruszenia praw i wolności osoby, której dane dotyczą, zgodnie z art. 34 ust. 3 lit. b RODO, tj. skierował do osoby, która otrzymała dane jej niedotyczące, informację o konieczności usunięcia wiadomości elektronicznej oraz o poufności danych zawartych w tej wiadomości i zakazie jej wykorzystywania.
W dniu […] lipca 2018 r. Prezes Urzędu Ochrony Danych Osobowych na podstawie art. 52 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U.2018.1000 z dnia 2018.05.24 z późn. zm.), zwanej dalej „ustawą o ochronie danych osobowych” oraz art. 34 ust. 4 RODO, skierował do Y. S.A. wystąpienie, w którym wezwał do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych oraz przekazania tym osobom zaleceń odnośnie zminimalizowania potencjalnych negatywnych skutków zaistniałego naruszenia. W wystąpieniu Prezes UODO wskazał, że naruszenie poufności takich danych osobowych jak numer PESEL wraz z imieniem i nazwiskiem, danymi podmiotu ubezpieczającego, datą urodzenia, a także imieniem i nazwiskiem osoby uposażonej powoduje wysokie ryzyko dla praw i wolności osoby w związku z następującymi przykładowymi zagrożeniami:
w odniesieniu do wyłudzenia ubezpieczenia - nie jest możliwe skorzystanie np. z przysługujących innej osobie uprawnień w zakresie ubezpieczenia komunikacyjnego, bo w razie stłuczki dla weryfikacji uprawnień potrzebne jest prawo jazdy, a ponadto w zdarzeniu musi uczestniczyć też ubezpieczony pojazd. W przypadku innych umów ubezpieczenia towarzystwo jest obowiązane w momencie wypłaty ubezpieczenia ustalać osoby uprawnione z tytułu umowy ubezpieczenia na podstawie dokumentu stwierdzającego tożsamość.
T. wskazało również, że na zastosowane środki naprawcze m.in. tj:
Pismem z dnia […] września 2018 r. Y. S.A. poinformowało, że osoba, której dane dotyczą, została zawiadomiona o naruszeniu […] września 2018 r. Jednocześnie T. przekazało zanonimizowaną treść zawiadomienia, w którym wskazało osobie, na czym polegało naruszenie ochrony danych osobowych oraz podało adres mailowy do inspektora ochrony danych osobowych. Poinformowało również, że w celu zminimalizowania negatywnych skutków naruszenia ochrony danych osobowych skierowało do odbiorcy błędnego adresu prośbę o trwałe usunięcie wiadomości oraz sprostowało błędny adres e-mail w systemie Y. S.A. Pouczyło również pracowników wprowadzających dane osobowe klientów lub potencjalnych klientów, o konieczności uważnego wprowadzania danych i dołączania odpowiednich załączników. W zakresie opisu możliwych konsekwencji naruszenia T. wskazało, że „osoba trzecia może posłużyć się Pana danymi”.
Następnie w piśmie z dnia […] września 2018 r. T. wskazało, że wystąpienie z art. 52 ust. 1 ustawy o ochronie danych osobowych Prezesa UODO z dnia […] lipca 2018 r., w którym obowiązek powiadomienia osoby, której dane dotyczą o naruszeniu został na T. nałożony, nie jest aktem administracyjnym, nie ma charakteru władczego i nie stanowi środka służącego realizacji kompetencji Prezesa UODO. Ponadto Y. S.A. podniosło, że adresat wystąpienia nie ma możliwości kwestionowania tez zawartych w wystąpieniu na drodze postępowania administracyjnego lub sądowoadministracyjnego.
[…] października 2018 r. na podstawie art. 61 § 1 i 4 Kpa w związku z art. 58 ust. 2 lit. e) RODO wszczęte zostało postępowanie administracyjne w sprawie niezawiadomienia przez Y. SA. osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych zgodnie z art. 34 RODO.
Pismem z dnia […] października 2018 r. Y. S.A. poinformowała Prezesa UODO, że osoba, której dane dotyczą, została zawiadomiona o naruszeniu […] września 2018 r.
Zawiadomienie przesłane […] września 2018 r. przez Y. S.A. do osoby, której dane dotyczą, nie jest prawidłowe, ponieważ nie zawiera dostatecznego opisu możliwych negatywnych konsekwencji naruszenia ochrony danych osobowych, na jakie może być narażona osoba, której dane dotyczą, oraz proponowanych przez administratora środków w celu zminimalizowania negatywnych skutków naruszenia. Tym samym nie spełnia ono warunków określonych w art. 34 ust. 2 w związku z art. 33 lit. c i d RODO.
Prezes UODO korzystając ze swoich uprawnień, jakie przysługują mu na podstawie art. 52 ust. 1 ustawy o ochronie danych osobowych skierował do Y. S.A. wystąpienie zmierzające do zapewnienia skutecznej ochrony danych osobowych. Wskazał w nim, że naruszenie poufności danych takich jak numer PESEL wraz z imieniem i nazwiskiem ubezpieczonego, danymi podmiotu ubezpieczającego (nazwa, adres), datą urodzenia, imieniem i nazwiskiem osoby uposażonej oraz numerem polisy powoduje wysokie ryzyko dla praw i wolności osoby, wymaga zawiadomienia osoby o naruszeniu celem poinformowania jej m.in. o możliwych negatywnych skutkach naruszenia oraz działaniach (środkach), jakie może ona podjąć w celu zabezpieczenia przed negatywnymi skutkami naruszenia. W swoim wystąpieniu Prezes UODO podpowiedział administratorowi, w jakich możliwych nieuprawnionych celach dane osoby mogą być wykorzystane oraz o jakich przykładowych środkach zabezpieczających powinna być ona zawiadomiona w celu zabezpieczenia się przed negatywnymi skutkami naruszenia.
Y. S.A. zdecydowała się zawiadomić osobę, o naruszeniu dopiero […] września 2018 r. Jednakże w zawiadomieniu tym, nie wskazała osobie możliwych sposobów nieuprawnionego wykorzystania danych ograniczając się jedynie do stwierdzenia „W konsekwencji powyższego, osoba trzecia może posłużyć się Pana danymi”. Zawiadomienie osoby, nie obejmowało również wskazania środków w celu zminimalizowania ewentualnych negatywnych skutków naruszenia.
Oprócz obowiązku wskazania osobie, której dane dotyczą, opisu możliwych konsekwencji naruszenia, Y. S.A. zobowiązane było również na podstawie z art. 34 ust. 3 w związku z art. 33 ust 3 lit. d RODO do przekazania osobie, której dane dotyczą, opisu środków proponowanych przez administratora w celu zaradzenia naruszeniu ochrony danych, w tym środków, które osoba może podjąć w celu zminimalizowania ewentualnych negatywnych skutków naruszenia. T. nie wywiązało się z tego obowiązku i nie przekazało osobie żadnych zaleceń w tym zakresie.
Wytworzył informację: dr Edyta Bielak–Jomaa 2018-11-20
Wprowadził‚ informację: Miłosz Szymański 2019-04-10 14:24:53
Ostatnio modyfikował: Iwona Jeleń 2019-04-25 10:29:56