Wyciek numeru PESEL – czy w każdym przypadku wymaga zgłoszenia

Dokumenty z numerem PESEL wysłane nieuprawnionej osobie

Aby odpowiedzieć na to pytanie, warto przeanalizować jedną ze spraw, która zakończyła się karą wymierzoną przez Prezesa UODO, ale później uchyloną przez sąd administracyjny. Otóż agent ubezpieczeniowy przesłał dokument z danymi osobowymi klienta omyłkowo na adres e-mail nieuprawnionej osoby. Agent działał w imieniu firmy ubezpieczeniowej, z którą miał zawartą umowę powierzenia przetwarzania danych. W przesłanym omyłkowo dokumencie znalazły się następujące dane osobowe:

• imię i nazwisko;

• numer PESEL oraz

• miejscowość wraz z kodem pocztowym.

Ze złożonych przez administratora wyjaśnień wynikało, że nie zgłosił on naruszenia ochrony danych do Prezesa UODO ani też nie zawiadomił o tym podmiotu danych. Wskazał on także, że otrzymał oświadczenie osoby, której omyłkowo wysłano dane osobowe klienta. W oświadczeniu tym wskazana osoba podała, że wykasowała wiadomość e-mail i już jej nie posiada oraz że nie zapoznała się z jego treścią.

Na tej podstawie firma ubezpieczeniowa zrezygnowała ze zgłaszania naruszenia, twierdząc, że prawdopodobieństwo wystąpienia ryzyka naruszenia praw i wolności podmiotów danych było niskie.

Odmienna ocena Prezesa UODO

Organ nadzorczy nie zgodził się z wyjaśnieniami firmy ubezpieczeniowej. Zarzucił administratorowi niezgłoszenie naruszenia ochrony danych Prezesowi UODO (art. 33 ust. 1 RODO) oraz niepoinformowanie o tym podmiotów danych (art. 34 ust. 1 RODO). Jak wskazał Prezes UODO, nie było pewności, czy rzeczywiście dane osobowe zostały usunięte przez osobę nieuprawnioną, w szczególności czy nie zostały przesłane w postaci kopii do innych nieuprawnionych. Inny słowy, w ocenie administratora oświadczenie odbiorcy korespondencji nie gwarantowało bezpieczeństwa danych. Co więcej nie można było tego oświadczenia faktycznie zweryfikować, a odbiorcy nie można było w tej sytuacji uznać za zaufanego.

Prezes UODO wskazał na następujące zagrożenia:

• ujawnienie danych może ograniczać korzystanie z praw obywatelskich i usług kierowanych do ogółu obywateli (np. głosowania w ramach budżetu obywatelskiego);

• osoby trzecie mogą podjąć próbę zaciągnięcia zobowiązań na poszkodowanego (np. przez Internet lub telefonicznie, bez konieczności okazywania dokumentu tożsamości);

• osoby trzecie mogą chcieć zawrzeć inną umowę cywilnoprawną na szkodę osoby dotkniętej naruszeniem;

• osoby trzecie mogą próbować uzyskać dostęp do systemów obsługujących udzielanie świadczeń medycznych i uzyskać wgląd do danych o stanie zdrowia poszkodowanego.

Ujawnienie numeru PESEL w połączeniu z imieniem i nazwiskiem nieuprawnionej osobie w ocenie Prezesa UODO rodzi maksymalne prawdopodobieństwo identyfikacji, ponieważ PESEL jednoznacznie identyfikuje konkretną osobę.

W efekcie Prezes UODO nałożył na firmę ubezpieczeniową administracyjną karę pieniężną w wysokości 159 176 zł.