Naczelny Sąd Administracyjny (NSA) oddalił skargę kasacyjną jednego z banków, który został ukarany ponad półmilionową karą za naruszenie RODO. A konkretnie za niezawiadomienie bez zbędnej zwłoki o naruszeniu ochrony danych osób, których te dane dotyczyły.
Czy administrator ma obowiązek informowania o naruszeniu danych osobowych?
Bank wpadł w tarapaty przez byłą pracownicę, której nie skasowano dostępu do baz. Odkrył, że kobieta, której po rozwiązaniu umowy zapomniano odebrać dostęp do Platformy Usług Elektronicznych, kilkukrotnie logowała się do niej. I mogła w ten sposób przeglądać na profilu płatnika dane pracowników banku nie tylko w zakresie ich imion i nazwisk, numerów PESEL czy adresu, ale także informacje o zwolnieniach lekarskich. Instytucja sama zawiadomiła prezesa Urzędu Ochrony Danych Osobowych (UODO) o naruszeniu ochrony danych 10 500 osób. Administrator zrezygnował natomiast z powiadamiania ich o naruszeniu. Tłumaczył, że w trakcie zatrudnienia kobieta miała dostęp do znacznie szerszego katalogu danych pracowniczych, co wynikało z jej funkcji kierowniczej w departamencie kadr. Miało za tym przemawiać też to, że była pracownica sama zgłosiła byłemu pracodawcy nieuprawniony dostęp do platformy.
Czytaj więcej
Wojewódzki Sąd Administracyjnego w Warszawie jeszcze raz musi się zająć sprawą słonej kary dla ubezpieczyciela Ergo Hestia SA za to ujawnił cudze d...
Wyjaśnienia te nie przekonały prezesa UODO. Nałożył on karę za niezawiadomienie o naruszeniu potencjalnych poszkodowanych i nakazał wypełnić obowiązek informacyjny w terminie trzech dni. Prezes UODO przypomniał, że w przypadku możliwości wystąpienia wysokiego ryzyka dla praw i wolności osób fizycznych wynikających z naruszenia ochrony danych osobowych, administrator jest zobowiązany bez zbędnej zwłoki zawiadomić o tym osobę, której dane dotyczą. A w spornej sprawie takie ryzyko UODO ocenił na wysokie.
Nie przekonał go też argument o potraktowaniu „sprawczyni” naruszenia jako odbiorcy zaufanego. Jak bowiem zauważył UODO, status odbiorcy zaufanego posiadają ci, którzy działają w strukturach danej organizacji albo są np. dostawcą, z którego usług administrator stale korzysta. Pomiędzy nimi istnieje więź faktyczna, a nierzadko prawna, która pozwala na ocenę stopnia zaufania stron. Taka sytuacja nie ma miejsca w sprawie, a o braku występowania odbiorcy zaufanego świadczy sam fakt pięciokrotnego zalogowania się do systemu przez byłego pracownika przy braku uprawnień. Prezes UODO podkreślił również, że w sprawie nie jest istotne to, czy osoba nieuprawniona faktycznie zapoznała się z danymi innych osób. Wystarczy samo ryzyko, które z uwagi na zakres danych było wysokie.
