Stowarzyszenie z karą UODO w wyniku ujawnienia danych osobowych przez wolontariusza

Naruszenie polegało na nieopatrznym ujawnieniu przez wolontariusza na portalu społecznościowym nadmiarowych danych osobowych ponad 100 uczestników zawodów sportowych organizowanych przez stowarzyszenie. Wprawdzie uczestnicy zawodów wyrazili zgodę na przetwarzanie danych osobowych, niemniej jednak ich dane zostały ujawnione w szerszym zakresie. Dane zostały ujawnione w pliku w arkuszu kalkulacyjnym – znalazły się tam:

• imiona i nazwiska,

• płeć,

• miejscowość,

• klub sportowy,

• adres e-mail,

• data urodzenia.

W toku postępowania Prezes UODO zażądał od stowarzyszenia złożenia wyjaśnień na temat okoliczności zdarzenia. Stowarzyszenie obciążyło odpowiedzialnością za naruszenie wolontariusza pracującego przy organizacji zawodów sportowych. Prezes Urzędu położył jednak nacisk na kwestii analizy ryzyka wiążącego się z naruszeniem dla praw i wolności osób, których dane ujawniono. Na podstawie tej analizy administrator winien był ustalić, czy konieczne jest zgłoszenie naruszenia ochrony danych. Analizy tej, jak ustalił organ nadzorczy, stowarzyszenie nie dokonało.

Do tego zarówno na etapie czynności wyjaśniających jak i po wszczęciu postępowania administracyjnego stowarzyszenie nie udzielało odpowiedzi na kolejne pytania organu nadzorczego. W konsekwencji Prezes UODO ustalił, że stowarzyszenie nie dokonało analizy ryzyka naruszenia w celu jego zgłoszenia, mimo że incydent mógł dotyczyć około 100 osób. W ocenie organu nadzorczego było to wynikiem niezrozumienia powagi sytuacji przez administratora. Być może ryzyko naruszenia nie było wysokie, niemniej jednak było według organu nadzorczego na tyle duże, że uzasadniało zgłoszenie naruszenia do Prezesa UODO.