Ochrona danych

Prezes UODO nakazał ubezpieczycielowi ponownie zawiadomić klienta o naruszeniu danych

Spór

Prezes UODO prowadził postępowanie wobec Y. S.A. o niezawiadomienie klienta o naruszeniu ochrony danych, zgodnie z art. 34 RODO. Spółka twierdziła, że nie było wysokiego ryzyka i że wystąpienie organu nie jest wiążące.

Ustalenia sądu

Spółka dwukrotnie wysłała e-mail z danymi klienta na niewłaściwy adres. Klienta zawiadomiono dopiero po wszczęciu postępowania, a zawiadomienie nie zawierało opisu możliwych konsekwencji ani środków, które klient mógł podjąć.

Rozstrzygnięcie

Decyzja nieprawomocna: Prezes UODO nakazał Y. S.A. ponowne zawiadomienie osoby, której dane dotyczą, z opisem możliwych konsekwencji i środków zaradczych, w terminie 3 dni od dnia, w którym decyzja stanie się ostateczna.

Dlaczego

Zawiadomienie nie zawierało opisu możliwych konsekwencji naruszenia ani środków zaradczych, wymaganych przez art. 34 ust. 2 w związku z art. 33 ust. 3 lit. c i d RODO. Organ uznał, że możliwe są m.in. wyłudzenie kredytu w firmie pozabankowej i wykorzystanie danych do oszustwa ubezpieczeniowego.

Dla firm

Gdy organ uzna ryzyko naruszenia za wysokie, prośba do błędnego odbiorcy o usunięcie wiadomości nie zwalnia administratora z zawiadomienia osoby, której dane dotyczą. Termin na zawiadomienie biegnie od dnia, w którym decyzja stanie się ostateczna.

Więcej o sprawie

Dane klienta, w tym PESEL i numer VIN pojazdu, dwukrotnie trafiły na zły adres e-mail. Y. S.A. uznała ryzyko za średnie i nie zawiadomiła klienta, powołując się na prośbę do błędnego odbiorcy o usunięcie wiadomości.

Rozstrzygnięcie

Nakaz

Sąd

Prezes Urzędu Ochrony Danych Osobowych

Sygnatura

ZWAD.405.23.2018

Treść orzeczenia

Krajowa Izba Odwoławcza publikuje orzeczenia bez anonimizacji, więc nie przepisujemy ich treści. Pełny tekst jest w pliku PDF w wyszukiwarce Urzędu Zamówień Publicznych: ZWAD.405.23.2018 (PDF).

Hasła tematyczne: ochrona danych osobowych

141 dni od wyroku do publikacji

1. Wyrok 20 listopada 2018 r.
2. Portal: 10 kwietnia 2019 r.

Pełny tekst i metryka orzeczenia: Prezes UODO (orzeczenia.uodo.gov.pl). Tytuł i streszczenie przygotował model językowy na podstawie treści orzeczenia. Orzeczenie może być nieprawomocne.