Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. o ochronie danych (RODO) nakazuje administratorowi, aby w przypadku naruszenia ochrony danych osobowych, bez zbędnej zwłoki – w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłosił naruszenie organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1). W przypadku niewywiązania się z ww. obowiązków organ nadzorczy może nałożyć na administratora karę pieniężną (art. 58 ust. 2 lit. i). A kary te – ze względu na swoją wysokość – mogą być bardzo dotkliwe. Tak było m.in. w dwóch sprawach rozpatrzonych przez prezesa Urzędu Ochrony Danych Osobowych w marcu br.

W pierwszej (decyzja DKN.5131.59.2022) prezes UODO stwierdził naruszenie przez bank art. 33 ust. 1 oraz art. 34 ust. 1 RODO polegające na niezgłoszeniu w terminie prezesowi UODO naruszenia ochrony danych osobowych oraz na niezawiadomieniu o naruszeniu ochrony danych osobowych osób, których dane dotyczą. Kara pieniężna wyniosła w tym przypadku 1 440 549 zł.

W rozpatrywanej sprawie doszło do naruszenia ochrony danych osobowych klientów banku, które polegało na upublicznieniu dokumentów bankowych znajdujących się w porzuconej przesyłce, po tym jak została ona uprzednio skradziona w czasie transportu w firmie kurierskiej. Nie pomogły tłumaczenia banku, że ocena ryzyka naruszenia praw i wolności podmiotu danych została ustalona na poziomie niskim, ponieważ: przesyłka została odnaleziona przez jedną zidentyfikowaną osobę w krótkim czasie po jej utracie przez kuriera; zweryfikowano, że nie brakuje żadnych dokumentów; osoba, która znalazła dokumenty, zaniosła je bezpośrednio na posterunek policji, i osoba ta przyznała, że nie kopiowała dokumentów. Nie wystarczyło również tłumaczenie, że zdarzenie zostało wpisane do Rejestru Naruszeń Danych Osobowych prowadzonego przez bank.

Zdaniem prezesa UODO bank nie ma pewności, ile osób mogło mieć dostęp do porzuconej przesyłki, bo została ona skradziona w czasie transportu w firmie kurierskiej. Nie ma także pewności, czy przed złożeniem oświadczenia osoba ta nie wykonała kopii lub nie utrwaliła zawartych w treści dokumentacji danych osobowych w inny sposób, np. poprzez ich spisanie. Należy wziąć pod uwagę, że w wyniku przedmiotowego naruszenia ochrony danych osobowych doszło do udostępnienia co najmniej jednej osobie nieuprawnionej numerów ewidencyjnych PESEL wraz z imieniem i nazwiskiem klientów banku, które to zestawienie danych bywa wystarczające do „podszycia się” pod podmiot tych danych i zaciągnięcia w imieniu i na szkodę takiego podmiotu np. zobowiązań pieniężnych.

W tej sytuacji bank nie powinien był ustalić ryzyka naruszenia praw i wolności podmiotu danych na poziomie niskim. „Tym samym stwierdzić należy, że w związku z przedmiotowym naruszeniem wystąpiło wysokie ryzyko naruszenia praw lub wolności osób, których dane dotyczą, co w konsekwencji determinuje obowiązek dokonania zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu” – czytamy w decyzji.

Kara pieniężna nałożona w drugiej decyzji (DKN.5131.28.2023) wyniosła 78 575,40 zł. W tym przypadku doszło do naruszenia ochrony danych osobowych obejmującego dane osobowe jednej osoby fizycznej (klientki banku) w zakresie: imienia i nazwiska, numeru rachunku bankowego, adresu zamieszkania, numeru ewidencyjnego PESEL, serii i numeru dowodu osobistego. Naruszenie ochrony danych osobowych polegało na wysłaniu – w wyniku błędu pracownika banku – przesyłki bankowej zawierającej umowę i harmonogram spłaty kredytu do innego klienta banku. Przesyłka została odebrana i otwarta przez tego klienta, w związku z czym doszło do ujawnienia danych osobowych klientki banku osobie nieuprawnionej. Korespondencja została zwrócona do banku, który zarejestrował incydent bezpieczeństwa, jednak nie zgłosił naruszenia ochrony danych osobowych organowi nadzorczemu w terminie 72 godzin od jego stwierdzenia.