Source: https://uodo.gov.pl/decyzje/ZWAD.405.22.2018
Timestamp: 2019-12-08 16:28:28
Legal References Found: art. 34
 art. 52
 art. 34
 art. 52

Art. 34
 art. 5
 art. 34
 art. 33

Document Content:
ZWAD.405.22.2018
W dniu […] lipca 2018 r. pełnomocnik Y. S.A., zwanego dalej również „T.” lub „Y. S.A.” złożył do Prezesa Urzędu Ochrony Danych Osobowych zgłoszenie naruszenia ochrony danych osobowych (data stwierdzenia: […] czerwca 2018 r. godz. […]). Naruszenie polegało na przesłaniu wiadomości e-mail dotyczącej jednego z klientów Y. S.A. na niewłaściwy adres poczty elektronicznej, w wyniku czego dane osobowe klienta zostały udostępnione osobie nieuprawnionej. W zgłoszeniu administrator podał, że naruszenie dotyczyło takich danych jak: imię, nazwisko, adres, numer PESEL, numer telefonu, adres e-mail, dane pojazdu (w tym nr rejestracyjny i numer VIN. Administrator ocenił ryzyko naruszenia praw i wolności osoby, której dane dotyczą, jako średnie i zrezygnował z zawiadomienia tej osoby o zdarzeniu wskazując, że po naruszeniu administrator zastosował środki eliminujące prawdopodobieństwo wystąpienia wysokiego ryzyka naruszenia praw i wolności osoby, której dane dotyczą, zgodnie z art. 34 ust. 3 lit. b RODO, tj. skierował do osoby, która otrzymała dane jej niedotyczące, informację o konieczności usunięcia wiadomości elektronicznej oraz o poufności danych zawartych w tej wiadomości i zakazie jej wykorzystywania. Zwrócił się też o potwierdzenie usunięcia wiadomości.
W dniu […] lipca 2018 r. z inspektorem ochrony danych osobowych Y. S.A. została przeprowadzona rozmowa telefoniczna, której celem było ustalenie czy niezamierzony odbiorca elektronicznej wiadomości odpowiedział na prośbę o usunięcie tej wiadomości. W odpowiedzi inspektor przekazał, że nie otrzymał odpowiedzi od niewłaściwego adresata wiadomości. W dniu […] lipca 2018 r. Prezes Urzędu Ochrony Danych Osobowych na podstawie art. 52 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U.2018.1000 z dnia 2018.05.24 z późn. zm.), zwanej dalej „ustawą o ochronie danych osobowych” oraz art. 34 ust. 4 RODO, skierował do Y. S.A. wystąpienie, w którym wezwał do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych oraz przekazania tej osobie zaleceń odnośnie zminimalizowania potencjalnych negatywnych skutków zaistniałego naruszenia. W wystąpieniu Prezes UODO wskazał, że naruszenie poufności takich danych osobowych jak numer PESEL wraz z imieniem i nazwiskiem, adresem zamieszkania, numerem telefonu, adresem e-mail, a także dokumentacją dotyczącą ubezpieczanego pojazdu powoduje wysokie ryzyko dla praw i wolności osoby w związku z następującymi przykładowymi zagrożeniami:
Prezes UODO korzystając ze swoich uprawnień, jakie przysługują mu na podstawie art. 52 ust. 1 ustawy o ochronie danych osobowych skierował do Y. S.A. wystąpienie zmierzające do zapewnienia skutecznej ochrony danych osobowych. Wskazał w nim, że naruszenie poufności danych takich jak numer PESEL wraz z imieniem i nazwiskiem, adresem zamieszkania, numerem telefonu, adresem e-mail, a także dokumentacją dotyczącą ubezpieczanego pojazdu powoduje wysokie ryzyko dla praw i wolności osoby, wymaga zawiadomienia osoby o naruszeniu celem poinformowania jej m.in. o możliwych negatywnych skutkach naruszenia oraz działaniach (środkach), jakie może ona podjąć w celu zabezpieczenia przed negatywnymi skutkami naruszenia. W swoim wystąpieniu Prezes UODO podpowiedział administratorowi, w jakich możliwych nieuprawnionych celach dane osoby mogą być wykorzystane oraz o jakich przykładowych środkach zabezpieczających powinna być ona zawiadomiona w celu zabezpieczenia się przed negatywnymi skutkami naruszenia.
Art. 34 ust. 1 i 2 RODO ma na celu nie tylko zapewnienie możliwie najskuteczniejszej ochrony podstawowych praw i wolności podmiotów danych, ale także realizację zasady przejrzystości, która wynika z przepisu art. 5 ust. 1 lit. a RODO. (por.Chomiczewski Witold [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018). Właściwe wywiązanie się z obowiązku określonego w tym przepisie ma zapewnić osobie, której dane dotyczą - szybko i w sposób przejrzysty - informację o naruszeniu ochrony jej danych osobowych wraz z opisem możliwych konsekwencji naruszenia ochrony danych osobowych oraz środków, które może ona podjąć w celu zminimalizowania jego ewentualnych negatywnych skutków. Postępujące zgodnie z prawem i wykazujące dbałość zarówno o bezpieczeństwo produktów ubezpieczeniowych, jak i o interesy osoby, której dane dotyczą, T. powinno było zatem bez zbędnej zwłoki zapewnić osobie, której dane dotyczą, możliwość jak najlepszej ochrony jej praw i wolności wystawionych na ryzyko wynikające z naruszenia ochrony danych osobowych. Dla osiągniecia tego celu konieczne jest przynajmniej wskazanie m.in. tych informacji, które wymienione są w art. 34 ust. 2 w związku z art. 33 ust. 3 lit. c i d RODO, z którego to obowiązku T. się nie wywiązało.
Wprowadził‚ informację: Miłosz Szymański 2019-04-10 14:36:54
Ostatnio modyfikował: Iwona Jeleń 2019-04-25 10:29:12