ENEA S.A. ukarana za brak zgłoszenia naruszenia

Okoliczności zdarzenia, które doprowadziło do ukarania, są nieco zbliżone do tych, które wystąpiły w sprawie towarzystwa ubezpieczeniowego Warta. Otóż organ nadzorczy otrzymał informację o naruszeniu ochrony danych osobowych od osoby, do której w sposób nieuprawniony zaadresowano korespondencję z danymi osobowymi. Wspomnianą korespondencją był e-mail z niezaszyfrowanym i niezabezpieczonym załącznikiem zawierającym dane kilkuset osób. Mail wpłynął do nieuprawnionego adresata od współpracownika ENEA S.A.

W toku postępowania wszczętego przez PUODO spółka wskazała, że dokonała oceny pod kątem ryzyka naruszenia praw i wolności osób fizycznych. Na tej podstawie przyjęła, że nie nie było koniecznie zawiadomienie Prezesa UODO o naruszeniu. Poza tym wskazano, że osoba, która otrzymała omyłkowo wspomnianą wiadomość, oświadczyła, że niezwłocznie usunęła e-mail, co miało wyeliminować możliwość zaistnienia w przyszłości negatywnych skutków tego zdarzenia dla osób, których dane dotyczą.

Z tym stanowiskiem nie zgodził się organ nadzorczy. Wskazał bowiem, że w sprawie doszło do naruszenia bezpieczeństwa skutkującego przypadkowym ujawnieniem danych osobowych osobie nieuprawnionej do otrzymania tych danych. W konsekwencji doszło do naruszenia poufności danych tych osób. Tymczasem spółka nie dokonała zgłoszenia naruszenia.

W efekcie spółce wymierzono karę w wysokości ponad 138 tys. zł.