Source: https://uodo.gov.pl/decyzje/ZWAD.405.26.2018
Timestamp: 2019-12-08 16:47:54
Legal References Found: art. 34
 art. 34
 art. 52
 art. 34
 art. 52
 art. 52
 art. 34
 art. 33

Art. 34
 art. 5
 art. 34
 art. 33

Document Content:
ZWAD.405.26.2018
nakazuje ponowne zawiadomienie osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych w celu przekazania jej wszystkich informacji wymaganych zgodnie z art. 34 ust. 2 RODO, tj.:
opisu środków proponowanych przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym środków w celu zminimalizowania jego ewentualnych negatywnych skutków,
W dniu […] lipca 2018 r. pełnomocnik Y. S.A., zwane dalej również „T.” lub „Y. S.A.”, złożył do Prezesa Urzędu Ochrony Danych Osobowych zgłoszenie naruszenia ochrony danych osobowych (data stwierdzenia: […] lipca 2018 r. godz. […]). Naruszenie polegało na przesłaniu wiadomości e-mail dotyczącej jednego z klientów Y. S.A. na niewłaściwy adres poczty elektronicznej, w wyniku czego dane osobowe klienta zostały udostępnione osobie nieuprawnionej. Wysyłka wiadomości e-mail z danymi osobowymi klienta miała charakter jednorazowy. W zgłoszeniu administrator podał, że naruszenie dotyczyło takich danych jak: imię, nazwisko, adres zameldowania (tożsamy z adresem korespondencyjnym), numer PESEL, numer telefonu, dane pojazdu (w tym nr rejestracyjny i numer VIN), numer propozycji/polisy. Administrator ocenił ryzyko naruszenia praw i wolności osoby, której dane dotyczą, jako średnie i zrezygnował z zawiadomienia tej osoby o zdarzeniu, wskazując, że po naruszeniu administrator zastosował środki eliminujące prawdopodobieństwo wystąpienia wysokiego ryzyka naruszenia praw i wolności osoby, której dane dotyczą, zgodnie z art. 34 ust. 3 lit. b RODO, tj. skierował do osoby, która otrzymała dane jej niedotyczące, informację o konieczności usunięcia wiadomości elektronicznej oraz o poufności danych zawartych w tej wiadomości i zakazie ich wykorzystywania.
W dniu […] lipca 2018 r. Prezes Urzędu Ochrony Danych Osobowych na podstawie art. 52 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U.2018.1000 z dnia 2018.05.24 z późn. zm.), zwanej dalej „ustawą o ochronie danych osobowych”, oraz art. 34 ust. 4 RODO, skierował do Y. S.A. wystąpienie, w którym wezwał do zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych oraz przekazania tej osobie zaleceń odnośnie zminimalizowania potencjalnych negatywnych skutków zaistniałego naruszenia. W wystąpieniu Prezes UODO wskazał, że naruszenie poufności takich danych osobowych jak: numer PESEL wraz z imieniem i nazwiskiem, adresem zamieszkania, danymi lokalizacyjnymi, a także dokumentacją dotyczącą ubezpieczanego pojazdu powoduje wysokie ryzyko dla praw i wolności osoby w związku z następującymi przykładowymi zagrożeniami:
uzyskanie przez osoby trzecie, na szkodę osoby, której dane naruszono, kredytów w instytucjach pozabankowych;
uzyskanie dostępu do korzystania ze świadczeń opieki zdrowotnej przysługujących osobie, której dane naruszono;
korzystanie z praw obywatelskich osoby, której dane naruszono, np. wykorzystanie danych do oddania głosu w głosowaniu nad środkami budżetu obywatelskiego;
zasugerowanie osobie ostrożności przy podawaniu danych osobowych innym osobom, zwłaszcza za pośrednictwem Internetu czy telefonu.
W odpowiedzi na powyższe, Y. S.A. pismem z dnia […] sierpnia 2018 r. zwróciła się o ponowne rozważenie stanowiska Prezesa UODO zaprezentowanego w wystąpieniu, ponieważ w ocenie T. w przedmiotowym przypadku nie występowało wysokie ryzyko naruszenia praw i wolności osoby, której dane dotyczą, ponieważ:
T. wskazało również, że zastosowało środki naprawcze, tj. m.in.:
W odpowiedzi na to wezwanie, pismem z dnia […] września 2018 r., T. wskazało, że nie ma ono możliwości spełnić żądania organu nadzorczego w zakresie zawiadomienia osoby, której dane dotyczą, o naruszeniu ochrony danych osobowych, ponieważ wystąpienie z art. 52 ust. 1 ustawy o ochronie danych osobowych, w którym obowiązek taki został na T. nałożony, nie jest aktem administracyjnym, nie ma charakteru władczego i nie stanowi środka służącego realizacji kompetencji Prezesa UODO. Ponadto Y. S.A. podniosło, że adresat wystąpienia nie ma możliwości kwestionowania tez zawartych w wystąpieniu na drodze postępowania administracyjnego lub sądowoadministracyjnego.
Prezes UODO korzystając ze swoich uprawnień, jakie przysługują mu na podstawie art. 52 ust. 1 ustawy o ochronie danych osobowych, skierował do Y. S.A. wystąpienie zmierzające do zapewnienia skutecznej ochrony danych osobowych. Wskazał w nim, że naruszenie poufności danych takich jak numer PESEL wraz z imieniem i nazwiskiem, adresem zamieszkania, danymi lokalizacyjnymi, a także dokumentacją dotyczącą ubezpieczanego pojazdu powoduje wysokie ryzyko dla praw i wolności osoby, wymaga zawiadomienia osoby o naruszeniu celem poinformowania jej m.in. o możliwych negatywnych skutkach naruszenia oraz działaniach (środkach), jakie może ona podjąć w celu zabezpieczenia przed negatywnymi skutkami naruszenia. W swoim wystąpieniu Prezes UODO podpowiedział administratorowi, w jakich możliwych nieuprawnionych celach dane osoby mogą być wykorzystane oraz o jakich przykładowych środkach zabezpieczających powinna być ona powiadomiona w celu zabezpieczenia się przed negatywnymi skutkami naruszenia.
Y. S.A. zdecydowała się zawiadomić osobę, o naruszeniu dopiero po wszczęciu postępowania administracyjnego w niniejszej sprawie (co nastąpiło […] października 2018 r.). Jednakże w zawiadomieniu, które skierowała do osoby, której dane dotyczą w dniu […] października 2018 r. nie wskazała osobie możliwych sposobów nieuprawnionego wykorzystania danych ograniczając się jedynie do stwierdzenia „W konsekwencji powyższego osoba trzecia może posłużyć się Pana danymi”. Zawiadomienie osoby, nie obejmowało również wskazania środków w celu zminimalizowania ewentualnych negatywnych skutków naruszenia.
Prezes UODO w swoim wystąpieniu z dnia […] lipca 2018 r. wskazał możliwe konsekwencje naruszenia ochrony danych osobowych, jakie mogłyby być przekazane osobie, której dane dotyczą. Mimo wynikającego z art. 34 ust. 3 w związku z art. 33 ust 3 lit. c RODO obowiązku przekazywania osobie, której dane dotyczą, opisu możliwych konsekwencji naruszenia, T. nie przekazało tej osobie ani opisu konsekwencji zasugerowanych przez organ nadzorczy, ani opisu jakichkolwiek innych konsekwencji naruszenia ochrony danych osobowych. Zauważyć należy, że wbrew przeciwnemu stanowisku T., możliwe jest uzyskanie przez osoby trzecie, na szkodę osoby, której dane naruszono, kredytów w instytucjach pozabankowych, ponieważ wiele takich instytucji – w celu pozyskania jak największej liczby klientów umożliwia uzyskanie pożyczki lub kredytu w łatwy, szybki sposób np. przez Internet lub telefonicznie bez konieczności okazywania dokumentu tożsamości.
Art. 34 ust. 1 i 2 RODO ma na celu nie tylko zapewnienie możliwie najskuteczniejszej ochrony podstawowych praw i wolności podmiotów danych, ale także realizację zasady przejrzystości, która wynika z przepisu art. 5 ust. 1 lit. a RODO. (por.Chomiczewski Witold [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018). Właściwe wywiązanie się z obowiązku określonego w tym przepisie ma zapewnić osobie, której dane dotyczą - szybko i w sposób przejrzysty - informację o naruszeniu ochrony jej danych osobowych wraz z opisem możliwych konsekwencji naruszenia ochrony danych osobowych oraz środków, które może ona podjąć w celu zminimalizowania jego ewentualnych negatywnych skutków. Postępujące zgodnie z prawem i wykazujące dbałość zarówno o bezpieczeństwo produktów ubezpieczeniowych, jak i o interesy osoby, której dane dotyczą, T. powinno było zatem bez zbędnej zwłoki zapewnić, osobie, której dane dotyczą, możliwość jak najlepszej ochrony jej praw i wolności wystawionych na ryzyko wynikające z naruszenia ochrony danych osobowych. Dla osiągnięcia tego celu konieczne jest przynajmniej wskazanie m.in. tych informacji, które wymienione są w art. 34 ust. 2 w związku z art. 33 ust. 3 lit. c i d RODO, z którego to obowiązku T. się nie wywiązało.
Wprowadził‚ informację: Miłosz Szymański 2019-04-10 13:49:44
Ostatnio modyfikował: Iwona Jeleń 2019-04-25 10:30:14