Ponad 363 tys. zł – w takiej wysokości Prezes UODO nałożył karę pieniężną dla Banku Millenium S.A. To wynik niezawiadomienia o naruszeniu ochrony danych osób, których te dane dotyczą. W ocenie organu nadzorczego bank niewłaściwie ocenił przesłanki takiego zawiadomienia.
Sprawa trafiła do organu nadzorczego w efekcie skargi na Bank Millenium S.A. Z treści skargi wynikało, że firma kurierska współpracująca z bankiem zgubiła korespondencję z danymi osobowymi:
imieniem i nazwiskiem,
numerem PESEL,
adresem zameldowania,
numerem rachunków bankowych,
numerem identyfikacyjnym nadawanym klientom banku.
Bank uznał, że ryzyko negatywnych konsekwencji dla osób dotkniętych naruszeniem jest średnie. Z tego względu nie zgłosił tego naruszenia organowi nadzorczemu oraz nie zrealizował w pełni obowiązku powiadomienia podmiotów danych.
Jak podkreślił Prezes UODO, do organu nadzorczego należy zgłaszać te zdarzenia, w przypadku których istnieje wyższe niż małe prawdopodobieństwo niekorzystnego wpływu na prawa i wolności podmiotów danych. Natomiast gdy to ryzyko jest wysokie, wówczas należy zawiadomić w odpowiednim zakresie również osoby, których dane dotyczą.
Jako przykłady wysokiego ryzyka Prezes UODO podaje np.: kradzież lub sfałszowanie tożsamości, straty finansów, naruszenie dobrego imienia. Wskazuje również, że istotne znaczenie przy ocenie poziomu ryzyka ma zakres danych objętych naruszeniem.
Szeroki zakres danych zawartych w korespondencji może narazić osoby dotknięte tym incydentem na takie konsekwencje.
Decydujące jest tu wystąpienie ryzyka szkodliwego wpływu na prawa podmiotów danych a nie zaistnienie tego wpływu. Nie jest więc tak, że zawiadomienia podmiotów danych należy dokonać dopiero w przypadku, gdy ich dane trafiły do osób nieuprawnionych.
Orzecznictwo:
decyzja Prezesa UODO z 14 października 2021 r. (DKN.5131.16.2021).
Strona internetowa UODO (uodo.gov.pl)
Zapraszamy na webinar prowadzony w konwencji warsztatowej z wykorzystaniem praktycznych przykładów, pytań i odpowiedzi. Dedykowany jest zarówno do osób początkujących, rozpoczynających lub pełniących funkcję IOD od niedawna, jak również do osób pragnących ugruntować posiadaną wiedzę w zakresie odpowiedniego nadzoru przestrzegania zasad i przepisów z zakresu ochrony danych osobowych w organizacji.
© Portal Poradyodo.pl