Source: https://www.uodo.gov.pl/decyzje/ZWAD.405.88.2018
Timestamp: 2019-11-16 21:52:28
Legal References Found: art. 34
 art. 52
 art. 34
 art. 52
 art. 34
 art. 33

Document Content:
Warszawa, dnia 20 grudnia 2018 r.
ZWAD.405.88.2018
W dniu […] lipca 2018 r. pełnomocnik Y. S.A., zwane dalej również „T.” lub „Y. S.A.”, złożył do Prezesa Urzędu Ochrony Danych Osobowych zgłoszenie naruszenia ochrony danych osobowych (data stwierdzenia: […] lipca 2018 r. godz. […]). Naruszenie polegało na przesłaniu wiadomości e-mail dotyczącej jednego z klientów Y. S.A. na niewłaściwy adres poczty elektronicznej, w wyniku czego dane osobowe klienta zostały udostępnione osobie nieuprawnionej. Wysyłka wiadomości e-mail z danymi osobowymi klienta była incydentem jednorazowym. W zgłoszeniu administrator podał, że naruszenie dotyczyło takich danych jak: imię, nazwisko, adres zameldowania tożsamy z adresem korespondencyjnym, numer PESEL, numer telefonu, dane pojazdu (w tym model, nr rejestracyjny i numer VIN), numer polisy (propozycji). Administrator ocenił ryzyko naruszenia praw i wolności osoby, której dane dotyczą, jako średnie i zrezygnował z zawiadomienia tej osoby o zdarzeniu, wskazując, że po naruszeniu administrator zastosował środki eliminujące prawdopodobieństwo wystąpienia wysokiego ryzyka naruszenia praw i wolności osoby, której dane dotyczą, zgodnie z art. 34 ust. 3 lit. b RODO, tj. skierował do osoby, która otrzymała dane jej niedotyczące, informację o konieczności usunięcia wiadomości elektronicznej oraz o poufności danych zawartych w tej wiadomości i zakazie ich wykorzystywania.
W dniu […] sierpnia 2018 r. Prezes Urzędu Ochrony Danych Osobowych na podstawie art. 52 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U.2018.1000 z dnia 2018.05.24 z późn. zm.), zwanej dalej „ustawą o ochronie danych osobowych”, oraz art. 34 ust. 4 RODO, skierował do Y. S.A. wystąpienie, w którym wezwał do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych oraz przekazania tej osobie zaleceń odnośnie zminimalizowania potencjalnych negatywnych skutków zaistniałego naruszenia. W wystąpieniu Prezes UODO wskazał, że naruszenie poufności takich danych osobowych jak: numer PESEL wraz z imieniem i nazwiskiem, adresem zamieszkania, danymi lokalizacyjnymi, a także dokumentacją dotyczącą ubezpieczanego pojazdu powoduje wysokie ryzyko dla praw i wolności osoby w związku z następującymi przykładowymi zagrożeniami:
W odpowiedzi na powyższe, Y. S.A. pismem z dnia […] września 2018 r. zwróciła się o ponowne rozważenie stanowiska Prezesa UODO zaprezentowanego w wystąpieniu, ponieważ w ocenie T. w przedmiotowym przypadku nie występowało wysokie ryzyko naruszenia praw i wolności osoby, której dane dotyczą, ponieważ:
T. wskazało również, że nie ma ono możliwości spełnić żądania organu nadzorczego w zakresie zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, ponieważ wystąpienie z art. 52 ust. 1 ustawy o ochronie danych osobowych, w którym obowiązek taki został na T. nałożony, nie jest aktem administracyjnym, nie ma charakteru władczego i nie stanowi środka służącego realizacji kompetencji Prezesa UODO. Ponadto Y. S.A. podniosło, że adresat wystąpienia nie ma możliwości kwestionowania tez zawartych w wystąpieniu na drodze postępowania administracyjnego lub sądowoadministracyjnego.
Na zakończenie T. zwróciło się do Prezesa UODO o zmianę stanowiska w zakresie wskazanego w wystąpieniu przypadku, które z dużym prawdopodobieństwem jest również wskazywane przez UODO innym administratorom i mediom. Wskazało, że równie ważne, co zapobieganie takim sytuacjom, jest kreowanie świadomości obywateli. Jednakże Y. S.A., jako „zakładowi ubezpieczeń, bardzo zależy, aby produkty ubezpieczeniowe kojarzyły się obywatelom z bezpieczeństwem”.
Pismem z dnia […] października 2018 r. (sygn. […]) T. poinformowało, że osoba, której dane dotyczą, została zawiadomiona o naruszeniu […] października 2018 r. Jednocześnie T. przekazało zanonimizowaną treść zawiadomienia, w którym wskazało osobie, na czym polegało naruszenie ochrony danych osobowych oraz podało adres mailowy do inspektora ochrony danych osobowych. Poinformowało również, że w celu zminimalizowania negatywnych skutków naruszenia ochrony danych osobowych skierowało do odbiorcy błędnego adresu prośbę o trwałe usunięcie wiadomości oraz sprostowało błędny adres e-mail w systemie Y. S.A. Pouczyło również pracowników wprowadzających dane osobowe klientów lub potencjalnych klientów, o konieczności uważnego zapisywania danych odbiorcy wiadomości elektronicznej, a w razie wątpliwości co do treści tych danych – o wyjaśnienie tych wątpliwości z właściwymi osobami przed wysyłaniem wiadomości zawierającej dane osobowe. W zakresie opisu możliwych konsekwencji naruszenia T. wskazało, że „osoba trzecia może posłużyć się Pani danymi”.
Y. S.A. zdecydowała się zawiadomić osobę, o naruszeniu dopiero po wszczęciu postępowania administracyjnego w niniejszej sprawie. Jednakże w zawiadomieniu, które skierowała do osoby, której dane dotyczą w dniu […] października 2018 r. nie wskazała osobie możliwych sposobów nieuprawnionego wykorzystania danych ograniczając się jedynie do stwierdzenia „W konsekwencji powyższego osoba trzecia może posłużyć się Pani danymi”. Zawiadomienie osoby, nie obejmowało również wskazania środków w celu zminimalizowania ewentualnych negatywnych skutków naruszenia.
Prezes UODO w swoim wystąpieniu z dnia […] sierpnia 2018 r. wskazał możliwe konsekwencje naruszenia ochrony danych osobowych, jakie mogłyby być przekazane osobie, której dane dotyczą. Mimo wynikającego z art. 34 ust. 3 w związku z art. 33 ust 3 lit. c RODO obowiązku przekazywania osobie, której dane dotyczą, opisu możliwych konsekwencji naruszenia, T. nie przekazało tej osobie ani opisu konsekwencji zasugerowanych przez organ nadzorczy, ani opisu jakichkolwiek innych konsekwencji naruszenia ochrony danych osobowych. Zauważyć należy, że wbrew przeciwnemu stanowisku T., możliwe jest uzyskanie przez osoby trzecie, na szkodę osoby, której dane naruszono, kredytów w instytucjach pozabankowych, ponieważ wiele takich instytucji – w celu pozyskania jak największej liczby klientów umożliwia uzyskanie pożyczki lub kredytu w łatwy, szybki sposób np. przez Internet lub telefonicznie bez konieczności okazywania dokumentu tożsamości.
Wytworzył informację: dr Edyta Bielak–Jomaa 2018-12-20
Wprowadził‚ informację: Miłosz Szymański 2019-04-10 11:04:31
Ostatnio modyfikował: Iwona Jeleń 2019-04-26 16:08:49