Kiedy zawiadamiać obywatela o naruszeniu ochrony jego danych? Ważny wyrok NSA

Chodziło o karę w wysokości 159 176 zł, jaką Prezes UODO nałożył na sopockie Towarzystwo Ubezpieczeniowe Ergo Hestia SA za niezgłoszenie naruszenia ochrony danych osobowych i nie powiadomienie osoby nim dotkniętej. Naruszenie dotyczyło wysyłki maila z niezaszyfrowanym załącznikiem z ofertą ubezpieczeniową. W załączniku były dane osobowe (m.in. imię, nazwisko oraz numer PESEL) i informacje finansowe dotyczące innej osoby. Wojewódzki Sąd Administracyjny, po skardze ubezpieczyciela, uchylił decyzję Prezesa UODO. NSA jednak nakazał WSA ponownie rozpatrzyć sprawę i – co istotne – wskazał czym ma się kierować.

Czytaj więcej

Dane osobowe

136 tys. zł kary przez załącznik do maila - ENEA S.A. ukarana za brak zgłoszenia naruszenia RODO

Prezes Urzędu Ochrony Danych Osobowych nałożył na spółkę ENEA S.A. administracyjną karę pieniężną...

Dlaczego sąd uchylił karę dla Ergo Hestia SA?

WSA uznał, że chociaż naruszenie dotyczyło danych tylko jednej osoby i tylko jednej osobie zostały one omyłkowo udostępnione, to jednak incydent wymagał zgłoszenia do Prezesa UODO. Charakter i rodzaj udostępnionych danych w dużym stopniu umożliwiał bowiem ustalenie tożsamości osoby, której dane były w mailu.  

Jednocześnie WSA stwierdził , że PUODO nie wyjaśnił dostatecznie w uzasadnieniu decyzji dlaczego przyjął, że spółka Ergo Hestia naruszyła art. 34 ust.1 RODO. PUODO tłumaczy, że naruszenie ochrony danych osobowych mogło powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Zdaniem WSA, Prezes UODO nie wykazał przekonująco, że w praktyce możliwe są zdarzenia mogące powodować doniosłe negatywne konsekwencji dla osób, których dane dotyczą. Tymczasem Prezes UODO wskazywał na możliwość legalnego zaciągania zobowiązań wyłącznie na podstawie danych obejmujących imię i nazwisko, numer PESEL oraz miejscowość i kod pocztowy, oraz że pozwala to na uzyskanie dostępu do systemów obsługujących udzielanie świadczeń medycznych i na wgląd do danych o stanie zdrowia osoby dotkniętej naruszeniem.

Prezes UODO wniósł skargę kasacyjną na ten wyrok. Zarzucił WSA błędną wykładnię przepisu art. 34 RODO, polegającą na pominięciu, że czynnikiem, który należy brać pod uwagę, przy analizie ryzyka jest również waga/skutek dla osób fizycznych, a nie tylko prawdopodobieństwo.

Czytaj więcej:

Biznes

Czy należy bać się kontroli PUODO?

Kontrola Prezesa Urzędu Ochrony Danyc...

Pro

NSA: jak należy interpretować obowiązek notyfikacji naruszenia wskazany w RODO

NSA stwierdził, że skarga ta zasługuje na uwzględnienie. „Ustalenie, że prawdopodobieństwo naruszenia praw lub wolności osoby fizycznej nie jest małe w połączeniu ze wskazaną wyżej wysoką wagą potencjalnego wpływu naruszenia na prawa lub wolności osoby fizycznej przesądza o możliwości wystąpienia wysokiego ryzyka naruszenia praw lub wolności tej osoby, co nakłada na administratora obowiązek zawiadomienia osoby, której dane dotyczą, o tymże naruszeniu” - wskazał NSA.

Zdaniem Naczelnego Sądu Administracyjnego w tej sprawie istotą sporu było to, czy naruszenie poufności danych, jakie niewątpliwie miało miejsce, powoduje wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Nie zgodził się też z sądem niższej instancji, że PUODO niewystarczająco uzasadnił swoją decyzję, czym miał naruszyć art. 107 § 3 kodeksu postępowania administracyjnego.

NSA wskazał też, jak należy interpretować obowiązek notyfikacji naruszenia wskazany w RODO.  Art. 33 ust. 1 nakłada obowiązek zgłoszenia naruszenia organowi nadzorczemu (PUODO) w ciągu 72 godzin, jeśli nie ma ryzyka lub ryzyko jest małe. Art. 34 ust. 1 zobowiązuje administratora do zawiadomienia osób, których dane dotyczą, jeśli naruszenie może powodować wysokie ryzyko dla ich praw i wolności. 

Pomimo zaistnienia naruszenia ochrony danych osobowych administrator nie musi dokonywać zgłoszenia, jeżeli jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Prawa i wolności należy rozumieć podobnie jak na gruncie przepisu art. 6 ust. 1 lit. f RODO. W konsekwencji obowiązek notyfikacyjny nie ma charakteru bezwzględnego – przypomniał NSA.

Czytaj więcej

Dane osobowe

Uznali, że atak hakerski nie jest poważny. Zapłacą 40 tys. zł kary

Prezes UODO nałożył 40 tysięcy złotych kary na lecznicę, która po ataku hakerskim straciła dostęp...