Sprawa dotyczy kradzieży komputera przenośnego użytkowanego przez jednego z pracowników SGGW. Na dysku tego komputera znajdowały się dane osobowe przetwarzane w trakcie postępowań rekrutacyjnych w ostatnich latach na studia w SGGW, takie jak dane identyfikacyjne - imię, nazwisko, nazwisko rodowe, imiona rodziców, pesel, płeć, narodowość, obywatelstwo, adres zamieszkania, seria i numer dowodu/paszportu, ukończona szkoła średnia, miejscowość szkoły średniej, nr telefonu komórkowego i stacjonarnego, rok ukończenia szkoły średniej, czy wyniki uzyskane na egzaminie maturalnym.
Prezes UODO podjął czynności kontrolne, mające na celu ustalić, czy przetwarzanie danych w SGGW odbywa się zgodnie z RODO.
Warto przy tej okazji podkreślić, że do Prezesa UODO należy zgłaszać naruszenia, nie później niż w ciągu 72 godzin od jego stwierdzenia. Ma to miejsce w przypadku, w którym istnieje prawdopodobieństwo (wyższe niż małe) naruszenia praw i wolności osób, których dane dotyczą. Chodzi tu np. o sytuacje, w których zdarzenie może prowadzić do kradzieży tożsamości, straty finansowej czy też naruszenia tajemnic prawnie chronionych. Jeżeli natomiast istnieje wysokie ryzyko, że wystąpią niekorzystne skutki naruszenia dla osób, których dane dotyczą, wówczas RODO wymaga, aby oprócz organu ds. ochrony danych, administrator o sytuacji poinformował również te osoby.
Celem zgłaszania naruszeń Prezesowi Urzędu Ochrony Danych Osobowych jest m.in. dokonanie przez organ nadzorczy oceny, czy administrator prawidłowo wypełnił m.in. obowiązek zawiadomienia o naruszeniu osób, których dane dotyczą, o ile faktycznie wystąpiła sytuacja, w której ma obowiązek to zrobić.
W przypadku poważnych naruszeń bardzo ważny jest czas reakcji. Dlatego, gdyby okazało się np. że administrator powinien powiadomić nie tylko Prezesa UODO, ale także osoby, których dotyczy dane zdarzenie, a tego nie zrobił, wówczas można szybko wskazać mu taką konieczność. Bardzo ważne jest bowiem, by osoby, których dane zostały np. ujawnione czy skradzione albo w inny sposób naruszone, mogły po takim powiadomieniu jak najszybciej same podjąć działania, które zabezpieczą je przed kolejnymi zagrożeniami.
Każda osoba, która uzna, że jej dane osobowe są przetwarzane niezgodnie z prawem może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Co więcej, art. 79 RODO daje jej także prawo, niezależnie od złożenia skargi do Prezesa UODO, do ochrony swoich praw przed sądem cywilnym. Zgodnie zaś z art. 82 RODO jeżeli poniosła ona szkodę majątkową lub niemajątkową, ma także prawo uzyskać od administratora odszkodowanie.
