Je e-mail odeslán nesprávnému příjemci porušením ochrany údajů?

Chybně odeslané e-mail může být narušením ochrany osobních údajů

E-mail zaslaná nesprávnému příjemci spadá pod definici narušení ochrany osobních údajů podle GDPR: jde o porušení zabezpečení vedoucí k nežádoucímu přístupu k osobním údajům osobou, která k tomu nemá právo. Ať se jedná o CV, fakturu s adresou nebo interní zprávu se jmény — jakmile se osobní údaje dostanou ke špatné osobě, lze to v zásadě považovat za narušení ochrany osobních údajů.

Že se jedná o narušení ochrany osobních údajů, neznamená automaticky, že musí být hlášeno. Článek 33 GDPR váže povinnost hlášení dohledovacímu úřadu na riziko, které narušení představuje pro práva a svobody dotyčné osoby: jak citlivé jsou údaje, kolik osob je postiženo a byla-li e-mail stažena zpět nebo zůstala neotevřená. Chybně odeslané e-mail obsahující pouze jméno a čas schůzky se posuzuje jinak než e-mail s finančními údaji nebo zdravotnickými informacemi zaslaná velké skupině nesprávných příjemců. Toto posouzení provádí sama organizace, která chybu udělala, a sama také rozhoduje, zda bude hlášit.

Vyplývá to z článku 33 GDPR

Definice porušení zabezpečení osobních údajů a vazba na povinnost hlášení do 72 hodin jsou obsaženy v článku 33 GDPR; Úřad pro ochranu osobních údajů na své stránce o hlášení narušení ochrany osobních údajů vysvětluje, jak se v praxi provádí posouzení rizika. GDPR se jako nařízení vztahuje přímo v každém členském státě, takže toto jádro je všude stejné — co se liší, je místo hlášení. V Nizozemsku jde o Úřad pro ochranu osobních údajů jako jediný národní dohledovací úřad. V Německu je to jinak: organizace hlásí dohledovacímu úřadu země, kde má sídlo, a existuje tam šestnáct zemských dohledovacích úřadů vedle federálního BfDI.