Warszawska lecznica Gyncentrum przesłało potwierdzenie realizacji zwrotnego przelewu, w tytule którego wskazana była nazwa badania genetycznego, innej osobie. Dokument zawierał dane osobowe: imię, nazwisko, numer rachunku bankowego, adres pacjentki. Była tam też kwota przelewu oraz nazwa wykonanego badania ujawniająca, że jest ono elementem rozbudowanej diagnostyki prenatalnej. Dane te trafiły do innej pacjentki Centrum o tym samym imieniu.
Okazało się, że incydent był skutkiem pomyłki pracownika. Administrator danych uznał jednak, że zdarzenie nie wiązało się z możliwością naruszenia praw lub wolności osób fizycznych – w związku z czym odstąpił od zgłoszenia naruszenia do Prezesa UODO. Sama pacjentka dowiedziała się o zdarzeniu od innej pacjentki Centrum.
Czytaj więcej
Wojewódzki Sąd Administracyjnego w Warszawie jeszcze raz musi się zająć sprawą słonej kary dla ub...
Kiedy nie trzeba zgłaszać naruszenia ochrony danych
- W sprawie tej kluczowa jest ocena, czy zaistniała sytuacja skutkuje możliwością powstania ryzyka naruszenia praw lub wolności osób fizycznych. RODO nakazuje, przy ocenie tego ryzyka, stosowanie trzystopniowej skali – przypomina Urząd Ochrony Danych Osobowych.
Naruszenia nie trzeba zgłaszać do Prezesa UODO, a jedynie je udokumentować, gdy wykluczone zostało prawdopodobieństwo wystąpienia naruszenia praw lub wolności osób fizycznych. Taka sytuacja ma jednak miejsce, gdy choć do incydentu doszło, to nie ma ryzyka dla zaistnienia jego skutków (RODO w wersji anglojęzycznej używa słowa „unlikely”, które ma silniejsze znaczenie niż polskie „mało prawdopodobne” i służy do określenia czegoś, co jest raczej nieprawdopodobne lub niemal niemożliwe).
