Błądzić jest rzeczą ludzką. Gdy jednak myli się pracownik, pracodawca musi liczyć się z konsekwencjami. Zwłaszcza, jeśli w grę wchodzi RODO i wskutek niefortunnego zdarzenia dochodzi do ujawnienia danych osobowych klienta. Potwierdza to jeden z najnowszych wyroków Naczelnego Sądu Administracyjnego (NSA).
Czy przesyłka z danymi osobowymi wysłana na cudzy adres narusza RODO?
O tym, jak brzemienna w skutkach może okazać się pomyłka pracownika przekonał się bank, na który do prezesa Urzędu Ochrony Danych Osobowych (UODO) poskarżyła się klientka. Kobieta zarzuciła, że instytucja dopuściła się nieprawidłowości w przetwarzaniu jej danych osobowych. A zaczęło się od tego, że w kwietniu 2020 r. złożyła w banku elektronicznie wniosek o konto. Kilka dni później od obcej kobiety dowiedziała się, że ta z tego samego banku dostała dodatkowy komplet dokumentów na jej nazwisko. Znajdowały się w nim m.in. informacje dotyczące polecenia przelewu wynagrodzenia z imieniem i nazwiskiem, PESEL oraz wniosek o zawarcie umowy ubezpieczenia/polisy, na którym widniały wszystkie dane osobowe wnoszącej skargę.
Jeszcze tego samego dnia klientka, która padła ofiarą niefortunnego zdarzenia odebrała swój komplet dokumentów. Incydent telefonicznie zgłosiła w banku i zaczęły się korowody z jego wyjaśnianiem. Kobieta tłumaczyła, że gdy w końcu skontaktował się z nią pracownik banku z przeprosinami, zaproponował jedynie zastrzeżenie dowodu osobistego. Podkreśliła, że instytucja nie poinformowała jej, jakie będą procedury co do dokumentów, które znajdowały się w dalszym ciągu w posiadaniu obcej kobiety. Oliwy do ognia miało dolać to, co klientce, do której przez pomyłkę trafiły dwa komplety dokumentów zalecić miał bank. Poinformowała skarżącą, że kazano jej je spalić albo zanieść do najbliższego punktu.
Bank potwierdził, że faktycznie koperta z umową ubezpieczenia została przez pomyłkę niewłaściwie spakowana do przesyłki innej klientki. Instytucja bardzo szczegółowo opisała, jakie kroki podjęła, żeby zapobiec temu na przyszłość i jak starała się załatwić sprawę oraz zadośćuczynić klientce. Broniła się jednak, że zdarzenie dotyczące naruszenia danych osobowych wynikało wyłącznie z incydentalnego błędu ludzkiego związanego z nieprzestrzeganiem procedur. Prezes UODO i tak sięgnął po sankcję. Skończyło się na upomnieniu, ale bez wątpienia zdaniem urzędników udostępnienie – choć przypadkowe – nie miało oparcia w żadnej przesłance legalizującej proces przetwarzania. A do tego nastąpiło z naruszeniem zasady poufności danych. Taki obrót sprawy nie zadowolił ukaranego. Przede wszystkim przekonywał, że feralnego zdarzenia nie można w ogóle kwalifikować jako operacji przetwarzania danych. W konsekwencji UODO nie powinien zajmować się skargą klientki w trybie art. 77 RODO.
