Source: https://www.uodo.gov.pl/decyzje/ZWAD.405.153.2018
Timestamp: 2019-11-19 05:24:57
Legal References Found: art. 104
 art. 58
 art. 34
 art. 34
 art. 34
 art. 52
 art. 34
 art. 34
 art. 61
 art. 58
 art. 34

Art. 34
 art. 34
 art. 34
 art. 33
 art. 52
 art. 34
 art. 34
 art. 33
 art. 34
 art. 33

Art. 34
 art. 5
 art. 34
 art. 33

Document Content:
ZWAD.405.153.2018
Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2017 r. poz. 1257 ze zm.), zwanej dalej „Kpa”, w związku z art. 58 ust. 2 lit. e rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119.1), zwanego dalej „ogólnym rozporządzeniem o ochronie danych” lub „RODO”, po przeprowadzeniu postępowania administracyjnego w sprawie niezawiadomienia przez Y. S.A., osoby, której dotyczy naruszenie ochrony danych osobowych, niezgodnie z art. 34 ust. 2 RODO, Prezes Urzędu Ochrony Danych Osobowych.
nakazuje ponowne zawiadomienie osób, których dane dotyczą, o naruszeniu ochrony danych osobowych w celu przekazania im wszystkich informacji wymaganych zgodnie z art. 34 ust. 2 RODO, tj.:
W dniu […] lipca 2018 r. pełnomocnik Y. S.A., zwane dalej również „T.” lub „Y. S.A.”, złożył do Prezesa Urzędu Ochrony Danych Osobowych zgłoszenie naruszenia ochrony danych osobowych (data stwierdzenia: […] lipca 2018 r. godz. […]).Naruszenie polegało na przesłaniu wiadomości e-mail dotyczącej jednego z klientów Y. S.A. na niewłaściwy adres poczty elektronicznej, w wyniku czego dane osobowe klienta zostały udostępnione osobie nieuprawnionej. Wysyłka wiadomości e-mail z danymi osobowymi klienta była incydentem jednorazowym. W zgłoszeniu administrator podał, że naruszenie dotyczyło takich danych jak: imię, nazwisko, adres zameldowania tożsamy z adresem korespondencyjnym, numer PESEL, numer telefonu, dane pojazdu (w tym nr rejestracyjny i numer VIN oraz marka), numer propozycji/polisy, data urodzenia. Administrator ocenił ryzyko naruszenia praw i wolności osób, których dane dotyczą, jako średnie i zrezygnował z zawiadomienia tych osób o zdarzeniu, wskazując, że po naruszeniu administrator zastosował środki eliminujące prawdopodobieństwo wystąpienia wysokiego ryzyka naruszenia praw i wolności osób, których dane dotyczą, zgodnie z art. 34 ust. 3 lit. b RODO, tj. skierował do osoby, która otrzymała dane jej niedotyczące, informację o konieczności usunięcia wiadomości elektronicznej oraz o poufności danych zawartych w tej wiadomości i zakazie ich wykorzystywania.
W dniu […] sierpnia 2018 r. Prezes Urzędu Ochrony Danych Osobowych na podstawie art. 52 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U.2018.1000 z dnia 2018.05.24 z późn. zm.), zwanej dalej „ustawą o ochronie danych osobowych”, oraz art. 34 ust. 4 RODO, skierował do Y. S.A. wystąpienie, w którym wezwał do zawiadomienia osób, których dane dotyczą, o naruszeniu ochrony danych osobowych oraz przekazania tym osobom zaleceń odnośnie zminimalizowania potencjalnych negatywnych skutków zaistniałego naruszenia. W wystąpieniu Prezes UODO wskazał, że naruszenie poufności takich danych osobowych jak: numer PESEL wraz z imieniem i nazwiskiem, adresem zamieszkania, numerem telefonu, datą urodzenia oraz danymi dotyczącymi pojazdu powoduje wysokie ryzyko dla praw i wolności osób w związku z następującymi przykładowymi zagrożeniami:
uzyskanie przez osoby trzecie, na szkodę osób, których dane naruszono, kredytów w instytucjach pozabankowych;
uzyskanie dostępu do korzystania ze świadczeń opieki zdrowotnej przysługujących osobom, których dane naruszono;
korzystanie z praw obywatelskich osób, których dane naruszono, np. wykorzystanie danych do oddania głosu w głosowaniu nad środkami budżetu obywatelskiego;
Prezes UODO wskazał również, że osobom, których dane dotyczą powinny być udzielone zalecenia co do środków, jakie mogą one podjąć w celu zabezpieczenia się przed negatywnymi skutkami naruszenia i wskazał następujące przykłady:
zasugerowanie osobom ostrożności przy podawaniu danych osobowych innym osobom, zwłaszcza za pośrednictwem Internetu czy telefonu.
Jednocześnie Prezes UODO wezwał do powiadomienia go w terminie 30 dni od dnia otrzymania wystąpienia o działaniach podjętych w związku z niniejszym wystąpieniem, tj.: zawiadomieniu osób o zaistniałym naruszeniu zgodnie z art. 34 ust. 1 RODO i przekazaniu im stosownych zaleceń, a także o działaniach podjętych w celu wyeliminowania podobnych nieprawidłowości w przyszłości.
T. wskazało, że zastosowało środki naprawcze, tj. m.in.:
[…] października 2018 r. na podstawie art. 61 § 1 i 4 Kpa w związku z art. 58 ust. 2 lit. e) RODO wszczęte zostało postępowanie administracyjne w sprawie niezawiadomienia przez Y. S.A. osób, których dane dotyczą, o naruszeniu ochrony danych osobowych zgodnie z art. 34 RODO.
Pismem z dnia […] października 2018 r. (sygn. […]) T. poinformowało, że osoby, których dane dotyczą, zostały zawiadomione o naruszeniu […] października 2018 r. Jednocześnie T. przekazało zanonimizowaną treść zawiadomień, w którym wskazało osobom, na czym polegało naruszenie ochrony danych osobowych oraz podało adres mailowy do inspektora ochrony danych osobowych. Poinformowało również, że w celu zminimalizowania negatywnych skutków naruszenia ochrony danych osobowych skierowało do odbiorcy błędnego adresu prośbę o trwałe usunięcie wiadomości oraz sprostowało błędny adres e-mail w systemie Y. S.A. Pouczyło również pracowników wprowadzających dane osobowe klientów lub potencjalnych klientów, o konieczności uważnego zapisywania danych odbiorcy wiadomości elektronicznej, a w razie wątpliwości co do treści tych danych – o wyjaśnienie tych wątpliwości z właściwymi osobami przed wysyłaniem wiadomości zawierającej dane osobowe. W zakresie opisu możliwych konsekwencji naruszenia T. wskazało, że „osoba trzecia może posłużyć się Pani danymi”.
Art. 34 ust. 1 ogólnego rozporządzenia ochrony danych osobowych wskazuje, że w sytuacji wysokiego ryzyka dla praw i wolności osób fizycznych wynikających z naruszenia ochrony danych osobowych, administrator jest zobowiązany bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą, o naruszeniu. Zgodnie z art. 34 ust. 2 RODO prawidłowe zawiadomienie powinno:
Zawiadomienia przesłane […] października 2018 r. przez Y. S.A. do osób, których dane dotyczą, nie są prawidłowe, ponieważ nie zawierają dostatecznego opisu możliwych negatywnych konsekwencji naruszenia ochrony danych osobowych, na jakie mogą być narażone osoby, których dane dotyczą, oraz proponowanych przez administratora środków w celu zminimalizowania negatywnych skutków naruszenia. Tym samym nie spełniają one warunków określonych w art. 34 ust. 2 w związku z art. 33 lit. c i d RODO.
Prezes UODO korzystając ze swoich uprawnień, jakie przysługują mu na podstawie art. 52 ust. 1 ustawy o ochronie danych osobowych, skierował do Y. S.A. wystąpienie zmierzające do zapewnienia skutecznej ochrony danych osobowych. Wskazał w nim, że naruszenie poufności takich danych osobowych jak: numer PESEL wraz z imieniem i nazwiskiem, adresem zamieszkania oraz datą urodzenia, powoduje wysokie ryzyko dla praw i wolności osób, wymaga zawiadomienia osób o naruszeniu celem poinformowania ich m.in. o możliwych negatywnych skutkach naruszenia oraz działaniach (środkach), jakie mogą one podjąć w celu zabezpieczenia przed negatywnymi skutkami naruszenia. W swoim wystąpieniu Prezes UODO podpowiedział administratorowi, w jakich możliwych nieuprawnionych celach dane osób mogą być wykorzystane oraz o jakich przykładowych środkach zabezpieczających powinny być one powiadomione w celu zabezpieczenia się przed negatywnymi skutkami naruszenia.
W sytuacji, gdy na skutek naruszenia ochrony danych osobowych, występuje wysokie ryzyko naruszenia praw i wolności osób fizycznych administrator zobowiązany jest na podstawie art. 34 ust. RODO bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą o takim naruszeniu. Oznacza to, że administrator zobowiązany jest wdrożyć wszelkie odpowiednie środki techniczne i organizacyjne, by od razu stwierdzić naruszenie ochrony danych osobowych i szybko poinformować organ nadzorczy, a w przypadkach wysokiego ryzyka naruszenia praw i wolności również osoby, których dane dotyczą. Administrator powinien zrealizować przedmiotowy obowiązek możliwie najszybciej. W motywie 86 preambuły RODO wyjaśniono: „Administrator powinien bez zbędnej zwłoki poinformować osobę, której dane dotyczą, o naruszeniu ochrony danych osobowych, jeżeli może ono powodować wysokie ryzyko naruszenia praw lub wolności tej osoby, tak aby umożliwić tej osobie podjęcie niezbędnych działań zapobiegawczych. Informacja taka powinna zawierać opis charakteru naruszenia ochrony danych osobowych oraz zalecenia dla danej osoby fizycznej co do minimalizacji potencjalnych niekorzystnych skutków. Informacje należy przekazywać osobom, których dane dotyczą, tak szybko, jak jest to rozsądnie możliwe, w ścisłej współpracy z organem nadzorczym, z poszanowaniem wskazówek przekazanych przez ten organ lub inne odpowiednie organy, takie jak organy ścigania. Na przykład potrzeba zminimalizowania bezpośredniego ryzyka wystąpienia szkody będzie wymagać niezwłocznego poinformowania osób, których dane dotyczą, natomiast wdrożenie odpowiednich środków przeciwko takim samym lub podobnym naruszeniom ochrony danych może uzasadniać późniejsze poinformowanie”.
Y. S.A. zdecydowała się zawiadomić osoby, o naruszeniu dopiero po wszczęciu postępowania administracyjnego w niniejszej sprawie. Jednakże w zawiadomieniach, które skierowała do osób, których dane dotyczą w dniu […] października 2018 r. nie wskazała osobom możliwych sposobów nieuprawnionego wykorzystania danych ograniczając się jedynie do stwierdzenia „W konsekwencji powyższego osoba trzecia może posłużyć się Pani/Pana danymi”. Zawiadomienie osób, nie obejmowało również wskazania środków w celu zminimalizowania ewentualnych negatywnych skutków naruszenia.
Prezes UODO w swoim wystąpieniu z dnia […] sierpnia 2018 r. wskazał możliwe konsekwencje naruszenia ochrony danych osobowych, jakie mogłyby być przekazane osobom, których dane dotyczą. Mimo wynikającego z art. 34 ust. 3 w związku z art. 33 ust 3 lit. c RODO obowiązku przekazywania osobom, których dane dotyczą, opisu możliwych konsekwencji naruszenia, T. nie przekazało tym osobom ani opisu konsekwencji zasugerowanych przez organ nadzorczy, ani opisu jakichkolwiek innych konsekwencji naruszenia ochrony danych osobowych. Zauważyć należy, że wbrew przeciwnemu stanowisku T., możliwe jest uzyskanie przez osoby trzecie, na szkodę osób, których dane naruszono, kredytów w instytucjach pozabankowych, ponieważ wiele takich instytucji – w celu pozyskania jak największej liczby klientów umożliwia uzyskanie pożyczki lub kredytu w łatwy, szybki sposób np. przez Internet lub telefonicznie bez konieczności okazywania dokumentu tożsamości.
Dane takie jak imię i nazwisko wraz z nr PESEL mogą być również wykorzystane do uzyskania dostępu do korzystania ze świadczeń opieki zdrowotnej i wglądu do danych o stanie zdrowia osób, ponieważ często dostęp do systemów rejestracji pacjenta można uzyskać telefonicznie potwierdzając swoją tożsamość za pomocą numeru PESEL.
Podanie imienia, nazwiska i numeru PESEL jest wystarczające w większości przypadków dla zagłosowania na wybrany projekt obywatelski w ramach budżetu partycypacyjnego i dotychczas zdarzały się przypadki podszywania pod inne osoby w celu uzyskania dodatkowych głosów. Większość władz lokalnych, umożliwia oddanie głosu za pomocą elektronicznego formularza, a formą uwierzytelnienia tożsamości osób oddających swój głos jest wskazanie w formularzu głosowania imienia, nazwiska oraz numeru PESEL. Również głosujący w formie tradycyjnej (papierowe karty do głosowania) są w wielu gminach zobowiązani do wskazania imienia, nazwiska, miejsca zamieszkania oraz numeru PESEL.
Dane osobowe innej osoby mogą być również wykorzystane w celu wyłudzenia ubezpieczenia lub środków z ubezpieczenia, co może spowodować dla osób, których dane dotyczą, negatywne konsekwencje w postaci problemów związanych z próbą przypisania im odpowiedzialności za dokonanie takiego oszustwa.
Oprócz obowiązku wskazania osobom, których dane dotyczą, opisu możliwych konsekwencji naruszenia, T. zobowiązane było również na podstawie z art. 34 ust. 3 w związku z art. 33 ust 3 lit. d RODO do przekazania osobom, których dane dotyczą, opisu środków proponowanych przez administratora w celu zaradzenia naruszeniu ochrony danych, w tym środków, które osoby mogą podjąć w celu zminimalizowania ewentualnych negatywnych skutków naruszenia. T. nie wywiązało się z tego obowiązku i nie przekazało osobom żadnych zaleceń w tym zakresie.
Art. 34 ust. 1 i 2 RODO ma na celu nie tylko zapewnienie możliwie najskuteczniejszej ochrony podstawowych praw i wolności podmiotów danych, ale także realizację zasady przejrzystości, która wynika z przepisu art. 5 ust. 1 lit. a RODO. (por.Chomiczewski Witold [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018). Właściwe wywiązanie się z obowiązku określonego w tym przepisie ma zapewnić osobom, których dane dotyczą - szybko i w sposób przejrzysty - informację o naruszeniu ochrony ich danych osobowych wraz z opisem możliwych konsekwencji naruszenia ochrony danych osobowych oraz środków, które mogą one podjąć w celu zminimalizowania jego ewentualnych negatywnych skutków. Postępujące zgodnie z prawem i wykazujące dbałość zarówno o bezpieczeństwo produktów ubezpieczeniowych, jak i o interesy osób, których dane dotyczą, T. powinno było zatem bez zbędnej zwłoki zapewnić, osobom, których dane dotyczą, możliwość jak najlepszej ochrony ich praw i wolności wystawionych na ryzyko wynikające z naruszenia ochrony danych osobowych. Dla osiągnięcia tego celu konieczne jest przynajmniej wskazanie m.in. tych informacji, które wymienione są w art. 34 ust. 2 w związku z art. 33 ust. 3 lit. c i d RODO, z którego to obowiązku T. się nie wywiązało.
Wprowadził‚ informację: Miłosz Szymański 2019-04-10 13:20:36
Ostatnio modyfikował: Iwona Jeleń 2019-04-26 16:07:36