Druga kara UODO dla firmy telekomunikacyjnej za spóźnione zgłoszenie naruszenia

Sprawa rozpoczęła się od sygnalizacji ze strony klienta, który otrzymał zestaw dokumentów z umową telekomunikacyjną mimo że te dokumenty jej nie dotyczyły. Innymi słowy korespondencja e-mail z danymi osobowymi trafiła do nieuprawnionej osoby. P4 Sp. z o.o. została więc wezwana do wyjaśnień, dlaczego nie zgłosiła naruszenia ochrony danych i umożliwiła dostęp nieuprawnionej osobie do danych osobowych.

Z wyjaśnień spółki wynikało, że klient wskazał numer telefonu i adres e-mail do kontaktu. Następnie wygenerowano wiadomość e-mail z kopią umowy i wysłano na podany adres e-mail. W dalszej kolejności spółka otrzymała informację od tego klienta, że podał on błędny adres e-mail.

Zgłoszenia takie nastąpiły dopiero po zawiadomieniu spółki przez organ nadzorczy o wszczęciu postępowania.

Warto przypomnieć, że zgłoszenia naruszenia ODO dokonywane przez firmy telekomunikacyjne są odjęte odrębnymi, krótszymi terminami. Zgłoszenia do Prezesa UODO należy dokonać w ciągu 24 godzin od dnia wykrycia naruszenia.

Z kolei zawiadomienie podmiotów danych o zdarzeniu jest konieczne, gdy naruszenie to może mieć niekorzystny wpływ na prawa abonenta lub użytkownika końcowego będącego osobą fizyczną. Zawiadomienia dokonuje się wówczas niezwłocznie.

Jak wskazał Prezes UODO, administrator dowiedział się o incydencie już w momencie, gdy klient poinformował go, że wskazany przez niego adres e-mail jest nieprawidłowy. W ocenie organu nadzorczego ta informacja wystarczyła do stwierdzenia, że doszło do naruszenia ochrony danych i od tego momentu biegł już 24-godzinny termin na zgłoszenie naruszenia. Tymczasem zgłoszenie naruszenia do Prezesa UODO i powiadomienie podmiotu danych nastąpiło ze znacznym opóźnieniem.

Dlatego właśnie P4 sp. z o.o. wymierzono karę pieniężną w wysokości 250 tys. zł. Orzeczenie to jest oczywiście nieprawomocne i nie można wykluczyć jego zaskarżenia do Wojewódzkiego Sądu Administracyjnego w Warszawie.