Czy podanie nieaktualnego adresu e-mail do IOD stanowi naruszenie RODO?

Tak — opisana sytuacja co najmniej kwalifikuje się jako incydent bezpieczeństwa informacji / incydent ochrony danych, który powinien zostać odnotowany w rejestrze incydentów. Natomiast to, czy doszło do naruszenia ochrony danych osobowych w rozumieniu RODO, zależy od kilku dodatkowych okoliczności.

Kluczowe jest rozróżnienie:

• incydent = każde zdarzenie mogące wpływać na bezpieczeństwo lub prawidłową obsługę danych,
• naruszenie ochrony danych osobowych (art. 4 pkt 12 RODO) = naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem:
  • zniszczenia,
  • utracenia,
  • zmodyfikowania,
  • nieuprawnionego ujawnienia,
  • lub dostępu do danych osobowych.

W opisanym przypadku:

• podano nieaktualny / nieistniejący adres kontaktowy do IOD,
• wiadomość została wysłana przez osobę, której dane dotyczą,
• wiadomość prawdopodobnie nie dotarła do właściwego odbiorcy,
• strona nie otrzymała odpowiedzi i musiała interweniować telefonicznie.

To oznacza przede wszystkim:

• problem organizacyjny i komunikacyjny,
• potencjalne ograniczenie realizacji praw osoby, której dane dotyczą,
• możliwe naruszenie zasady rozliczalności i prawidłowej obsługi żądań z art. 12 RODO.

Na tak zadane pytanie możliwe są dwa scenariusze postępowania. Oto one:

1.     Najczęściej — NIE, jeśli:

• adres był nieaktywny i wiadomość odbiła,
• nikt nieuprawniony nie uzyskał dostępu do treści,
• dane nie zostały ujawnione osobie trzeciej,
• nie doszło do utraty dostępności danych po stronie administratora.

Wtedy mamy raczej:

• incydent proceduralny / organizacyjny,
• ryzyko niewłaściwej obsługi żądania osoby,
• ale niekoniecznie „naruszenie ochrony danych osobowych” wymagające zgłoszenia do PUODO.

2.     Możliwe — TAK, jeśli:

• stary adres nadal działał i był obsługiwany przez inną osobę lub podmiot,
• wiadomość zawierała dane osobowe,
• osoba nieuprawniona mogła uzyskać dostęp do treści albo
• wskutek błędnego adresu doszło do utraty dostępności informacji lub terminowej realizacji praw osoby.

Wtedy może dojść do:

• naruszenia poufności,
• ewentualnie dostępności danych,
• czyli pełnoprawnego naruszenia ochrony danych osobowych.

Tak — rekomendowane jest zarejestrowanie zdarzenia co najmniej w:

• rejestrze incydentów,
• albo rejestrze naruszeń / zdarzeń dotyczących ochrony danych (w zależności od przyjętej procedury).

RODO wymaga rozliczalności, więc administrator danych osobowych powinien móc wykazać, że:

• incydent został przeanalizowany,
• oceniono ryzyko,
• ustalono, czy wystąpiło naruszenie danych,
• podjęto działania korygujące.

Najprawdopodobniej nie — o ile:

• nie było ujawnienia danych osobie nieuprawnionej,
• ryzyko dla praw lub wolności osoby jest znikome,
• doszło wyłącznie do błędnego wskazania nieaktywnego adresu.

Natomiast należy:

• udokumentować analizę,
• poprawić dane kontaktowe,
• sprawdzić publikacje (strona WWW, klauzule, stopki, rejestry),
• rozważyć procedurę okresowej weryfikacji danych IOD.

W praktyce organ nadzorczy zwykle oczekuje właśnie takiego podejścia, czyli udokumentowanej oceny i rozliczalności, nawet jeśli finalnie uznano, że nie doszło do naruszenia wymagającego notyfikacji.