Pani M. Z., właścicielka trzech lecznic stomatologicznych, w 2019 r. zgłosiła do Urzędu Ochrony Danych Osobowych, że jej były pracownik skopiował dane osobowe stu pacjentów z systemu komputerowego przychodni, aby wykorzystać je do marketingu własnych usług. W ten sposób numery PESEL, imiona i nazwiska, imiona rodziców, daty urodzenia, adresy zamieszkania lub pobytu oraz numery telefonów znalazły się w nieuprawnionych rękach. Choć pani M. Z. oceniła ryzyko naruszenia praw i wolności osób fizycznych jako wysokie, to jednak zrezygnowała z zawiadomienia swoich pacjentów o naruszeniu ochrony ich danych osobowych.
Prezes Urzędu nakazał jej naprawić ten błąd i wyznaczył trzydniowy termin na zawiadomienie osób, których dane skopiował były pracownik. Potem chciał sprawdzić, czy jego decyzja została wykonana.
Czytaj więcej
Wojewódzki Sąd Administracyjny w Warszawie podtrzymał decyzję Prezesa UODO w sprawie kary nałożon...
Zgubne skutki ignorowania wymogów RODO
Przedsiębiorczyni najpierw unikała odpowiedzi na wezwania do potwierdzenia i udowodnienia wykonania nakazu. Potem przedstawiała niejasne, wymijające i sprzeczne ze sobą wyjaśnienia. Twierdziła na przykład, że nie jest w stanie ustalić, ilu osób dane zostały ujawnione, albo że nakaz Prezesa UODO jest niewykonalny. Utrzymywała nawet, że to obowiązkiem Prezesa Urzędu jest zawiadomienie osób dotkniętych incydentem, do którego doszło w jej klinice. Wreszcie na dowód wysłania 37 zawiadomień przedstawiła... fakturę zakupu 37 znaczków pocztowych oraz pisemne oświadczenie rzekomego pracownika poczty o nadaniu 37 przesyłek zwykłych (nierejestrowanych).
Prezes UODO nie uznał tych dowodów za wiarygodne i prawomocną decyzją ukarał przedsiębiorcę administracyjną karą pieniężną w wysokości 85 588 zł. Na odpowiedź tym razem czekał krótko – pani M. Z. tym razem przesłała bezsporne dowody prawidłowego wykonania nakazu, a mianowicie kopie pism do pacjentów i potwierdzeń ich wysłania listami poleconymi.
