NSA: przy ocenie naruszeń danych liczy się nie tylko prawdopodobieństwo, ale też waga skutków

12 miesięcy temu

NSA uchylił rozstrzygnięcie WSA w sprawie kary nałożonej przez Prezesa UODO na ubezpieczyciela i wskazał, jak rozumieć obowiązek notyfikacji naruszeń danych. Podkreślono, że ocena ryzyka obejmuje również wagę potencjalnych skutków.

Naczelny Sąd Administracyjny uwzględnił skargę kasacyjną Prezesa UODO w sprawie dotyczącej niezgłoszenia naruszenia i braku powiadomienia osoby, której dane ujawniono. Naruszenie polegało na wysyłce oferty ubezpieczeniowej z niezaszyfrowanym załącznikiem do niewłaściwego odbiorcy, zawierającym m.in. imię, nazwisko, numer PESEL i informacje finansowe. W efekcie sprawa wraca do ponownego rozpoznania przez WSA.

NSA wskazał, że przy analizie ryzyka naruszenia praw lub wolności osób fizycznych znaczenie ma nie tylko jego prawdopodobieństwo, lecz także waga możliwych skutków. Podkreślono, że obowiązek notyfikacji nie jest bezwzględny, ale administrator musi ocenić ryzyko na podstawie obiektywnych kryteriów i okoliczności zdarzenia. Nie jest konieczne, aby szkoda faktycznie wystąpiła — „wystarczy samo pojawienie się wysokiego ryzyka naruszenia”.

Sąd stwierdził, że ujawnienie numeru PESEL wraz z imieniem i nazwiskiem może powodować wysokie ryzyko naruszenia praw lub wolności, w tym zagrożenie kradzieżą tożsamości, a więc może rodzić obowiązek zawiadomienia osób, których dane dotyczą. NSA nie podzielił też oceny, że uzasadnienie decyzji PUODO było niewystarczające.

Co to oznacza w praktyce

W praktyce administrator, oceniając naruszenie, powinien brać pod uwagę nie tylko prawdopodobieństwo szkody, ale również wagę możliwych skutków. Ujawnienie PESEL z imieniem i nazwiskiem może oznaczać wysokie ryzyko i obowiązek zawiadomienia osoby, której dane dotyczą.

Źródło: UODO – aktualności.

Jeżeli juz odwiedziłeś naszą stronę - zapraszamy do przejrzenia cennika usług!