Wytyczne zawarte w obu przepisach z jednej strony należy uznać za jasne i przejrzyste (albowiem wskazują na sytuacje i czas, w którym zgłoszenie/zawiadomienie powinno zostać sporządzone, a także na samą treść takiego dokumentu), z drugiej jednak strony treść przepisów przysparza administratorom szereg problemów interpretacyjnych (w zakresie oceny tego, czy konkretne naruszenie już podlega zgłoszeniu). Konsekwencją powyższych problemów mogą być wydawane decyzje organu nadzorczego lub liczne wystąpienia, kierowane do administratorów.
Kary pieniężne za nieprzestrzeganie przepisów
W ostatnim czasie Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO) wydał dwie decyzje, w których nałożył kary za naruszenia związane właśnie z niedostatecznym przestrzeganiem przepisów dotyczących naruszeń ochrony danych osobowych.
Czytaj także: Publikacja zdjęcia biletu lotniczego może oznaczać kłopoty
W pierwszej decyzji wydanej dnia 9 grudnia 2020 roku Prezes UODO stwierdził naruszenie przez TUiR WARTA S.A. przepisów art. 33 ust. 1 RODO polegającego na nie zgłoszeniu Prezesowi UODO naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia oraz art. 34 ust. 1 RODO polegającego na nie zawiadomieniu o naruszeniu ochrony danych osobowych, bez zbędnej zwłoki osób, których dane dotyczą. W konsekwencji na TUiR WARTA została nałożona kara pieniężna w wysokości 85.588 złotych. W sprawie tej naruszenie poufności i bezpieczeństwa danych w związku z naruszeniem ochrony danych osobowych polegało na przesłaniu (w niezaszyfrowanej wiadomości mailowej) polisy ubezpieczeniowej do nieuprawnionego odbiorcy, w tym w szczególności danych dotyczących numerów PESEL wraz z imionami i nazwiskami, adresami zamieszkania lub korespondencyjnymi, numerami telefonów, adresami mailowymi oraz informacji o przedmiocie ubezpieczenia (samochód osobowy), zakresie ubezpieczenia, płatności, cesji, a także dodatkowych zapisach wynikających z umowy. Wyżej wymieniona sytuacja spowodowała, zdaniem Prezesa UODO, wysokie ryzyko naruszenia praw lub wolności osób fizycznych, w szczególności z uwagi na łatwość identyfikacji osoby, której dane dotyczą. Powyższe skutkowało obowiązkiem zgłoszenia naruszenia do Prezesa UODO oraz zawiadomienie osób, których dane dotyczą.
W drugiej decyzji wydanej dnia 5 stycznia 2021 roku Prezes UODO z kolei stwierdził naruszenie przez Śląski Uniwersytet Medyczny w Katowicach przy ul. Księcia Józefa Poniatowskiego przepisów art. 33 ust. 1 RODO polegającego na nie zgłoszeniu Prezesowi UODO naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia oraz art. 34 ust. 1 RODO polegającego na nie zawiadomieniu o naruszeniu ochrony danych osobowych, bez zbędnej zwłoki osób, których dane dotyczą. W konsekwencji na Śląski Uniwersytet Medyczny w Katowicach została nałożona kara pieniężna w wysokości 25.000 złotych oraz nakazano zawiadomienie osób, których dane dotyczą o naruszeniu ochrony danych w celu przekazania im informacji wymaganych zgodnie z art. 34 ust. 2 RODO, tj. opisu charakteru naruszenia, imienia i nazwiska oraz danych kontaktowych inspektora ochrony danych lub oznaczenia punktu kontaktowego, opisu możliwych konsekwencji naruszenia, opisu środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu – w tym środków w celu zminimalizowania jego ewentualnych negatywnych skutków. W tym stanie faktycznym doszło do naruszenia poufności danych osobowych, które polegało na udostępnieniu na platformie [...] nagrań obrazujących przebieg egzaminów praktycznych, w trakcie przystępowania do których większość uczestników - studentów została wylegitymowana legitymacją studencką lub dowodem osobistym. Administrator nie kwestionował, iż sytuacja taka miała miejsce - wskazał nawet w złożonych przez siebie wyjaśnieniach, że „(...) nauczyciel akademicki dla zapewnienia prawidłowego przebiegu egzaminu musiał zweryfikować tożsamość uczestnika egzaminu". Administrator podnosił jednak, że „(...) dowody osobiste były przedstawiane przez Studentów sporadycznie i prezentowana była ich tylko pierwsza strona ze zdjęciem (co dotyczy ewentualnego szerszego zakresu ujawnionych przez Studenta danych niż przetwarzanych podczas egzaminu: wizerunek, głos, imię, nazwisko, informacje o grupie, roku studiów, kierunku, przedmiocie oraz udzielone podczas egzaminu odpowiedzi)". Prezes UODO stanowczo podkreślił, że podnoszona przez Administratora okoliczność, że „nie wpłynęła do Uczelni żadna informacja mogąca mieć wpływ na zmianę poziomu ryzyka albo wymagająca podjęcia innych środków technicznych i organizacyjnych rozszerzających katalog podjętych działań" nie ma znaczenia dla stwierdzenia istnienia po stronie Administratora obowiązku zgłoszenia przedmiotowego naruszenia ochrony danych osobowych Prezesowi UODO, albowiem doszło do wysokiego ryzyka naruszenia praw lub wolności osób fizycznych.
