Е-мейл към грешния получател нарушение ли е на защитата на данни?

Неправилно изпратено писмо може да бъде нарушение на данните

Писмо, което е изпратено до неправилния получател, попада под определението за нарушение на данните, както го разбира GDPR: в този случай има нарушение на сигурността, което води до нежелан достъп до личните данни от страна на лице, което няма право на това. Независимо дали е въпрос за CV, фактура с адрес или вътрешен меморандум с имена — щом личните данни достигнат до неправилния човек, в принцип се налага квалификацията "нарушение на данните".

Че нещо е нарушение на данните, не означава автоматично, че трябва да бъде докладвано. Член 33 на GDPR свързва задължението за докладване към надзорния орган с риска, който нарушението представлява за правата и свободите на субекта на данните: колко чувствителни са данните, колко хора са засегнати, и е ли писмото отозвано или е останало неоткрито. Неправилно изпратено писмо с само име и час на назначение се преценява различно от писмо с финансови данни или информация за здравето, изпратено на голяма група неправилни получатели. Тази преценка се прави от самата организация, която е допустила грешката, и тя сама решава дали докладва.

Това следва от член 33 на GDPR

Определението за нарушение на сигурността на личните данни и свързаното с него задължение за докладване в срок от 72 часа са установени в член 33 на GDPR; Управлението на личните данни по своята страница за докладване на нарушения на данните обяснява как се прави тази преценка на риска в практиката. GDPR важи като регламент пряко във всяка държава член, така че този основен елемент е еднакъв навсякъде — това, което се различава, е къде се докладва. В Нидерландия това е Управлението на личните данни, като единственият национален надзорен орган. В Германия е различно: там организацията докладва на надзорния орган на федералната земя, където е разположена, и има шестнадесет надзорни органи на федералните земи наред с федералния BfDI.