- Sygnatura akt
- DKN.5131.12.2022
- Sąd
- Prezes Urzędu Ochrony Danych Osobowych
- Rodzaj
- Decyzja
- Data orzeczenia
- 11 czerwca 2026 r.
- Rozstrzygnięcie
- Upomnienie
- Opublikowano w portalu
- 13 lipca 2026 r.
- W serwisie od
Zestawienie z tego dnia- Kategorie
- Ochrona danych
© autorzy OpenStreetMap
Szpital i dostawca poczty dostali upomnienia za przejęcie skrzynki z danymi pacjentów
Spór
Prezes UODO prowadził z urzędu postępowanie wobec szpitala będącego administratorem danych oraz jego dostawcy usługi poczty elektronicznej, po zgłoszeniu naruszenia ochrony danych z grudnia 2021 r.
Ustalenia sądu
Według ustaleń organu w grudniu 2021 r. z konta pocztowego pracownika pobrano całą zawartość skrzynki, w której znajdowały się dane około 200 osób, w tym dane o stanie zdrowia. Szpital nie przeprowadził oceny skutków dla ochrony danych przy korzystaniu z poczty jako obiegu dokumentów, a przed zawarciem umowy z dostawcą nie wykonał analizy ryzyka. Dostawca nie przeprowadził analizy ryzyka dla powierzonych danych i nie wymuszał silnych haseł ani blokady konta.
Rozstrzygnięcie
Prezes UODO udzielił szpitalowi upomnień za naruszenie art. 28 ust. 1, art. 5 ust. 1 lit. f) i ust. 2, art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 i 2 oraz art. 35 ust. 1 w zw. z art. 35 ust. 3 RODO, a podmiotowi przetwarzającemu upomnienia za naruszenie art. 32 ust. 1 i 2 w zw. z art. 28 ust. 3 RODO, a w pozostałym zakresie umorzył postępowanie.
Dlaczego
Organ uznał, że administrator nie zweryfikował dostawcy przed i po zawarciu umowy, a system poczty nie zapewniał wymuszania silnych haseł, mimo wcześniejszych ostrzeżeń audytora. Upomnienie zamiast kary uzasadniono podjętymi działaniami naprawczymi, certyfikatem ISO/IEC 27001 i zaangażowaniem inspektora ochrony danych.
Dla firm
Administrator odpowiada za wybór podmiotu przetwarzającego i jego nadzór, także przed podpisaniem umowy powierzenia. Pocztę służącą do obiegu dokumentów z danymi pacjentów trzeba objąć analizą ryzyka i oceną skutków dla ochrony danych.
Więcej o sprawie
Z przejętej skrzynki pobrano całą zawartość 10 grudnia 2021 r. W większości wiadomości były tylko numer PESEL i termin szczepienia.
Szpital prowadził obieg dokumentów przez pocztę i mimo ostrzeżeń z 2018 r. nie wymusił silnych haseł.
- Rozstrzygnięcie
- Upomnienie
- Sąd
- Prezes Urzędu Ochrony Danych Osobowych
- Sygnatura
- DKN.5131.12.2022
Treść orzeczenia
Krajowa Izba Odwoławcza publikuje orzeczenia bez anonimizacji, więc nie przepisujemy ich treści. Pełny tekst jest w pliku PDF w wyszukiwarce Urzędu Zamówień Publicznych: DKN.5131.12.2022 (PDF).
Hasła tematyczne: ochrona danych osobowych
32 dni od wyroku do publikacji
- Wyrok 11 czerwca 2026 r.
- Portal: 13 lipca 2026 r.
Pełny tekst i metryka orzeczenia: Prezes UODO (orzeczenia.uodo.gov.pl). Tytuł i streszczenie przygotował model językowy na podstawie treści orzeczenia. Orzeczenie może być nieprawomocne.