A rossz címzettnek küldött e-mail adatvédelmi incidens?

Egy rosszul elküldött e-mail adatsértés lehet

Az olyan e-mail, amely a hibás címzetthez érkezik, megfelel az adatsértés AVG-beli meghatározásának: jelen van az adatok védelmi szabályzatának megsértése, amely személyes adatok jogosulatlan hozzáféréséhez vezet. Függetlenül attól, hogy CV, címet tartalmazó számla vagy nevek szereplő belső emlékeztetőről van szó — amint a személyes adatok a nem megfelelő személyhez jutnak, az "adatsértés" megnevezés alapvetően értelmezhető.

Az, hogy valami adatsértés, nem jelenti automatikusan, hogy azt jelezni kell. Az AVG 33. cikke a felügyeleti hatóságnak történő bejelentési kötelezettséget az adatsértés által okozott kockázathoz köti a betegek jogaira és szabadságaira vonatkozóan: mennyire érzékenyek az adatok, hányan voltak érintve, és az e-mail visszahívható volt-e vagy megnyitatlan maradt-e. A csak nevet és időpontot tartalmazó rosszul elküldött e-mail másként értékelendő, mint a pénzügyi adatokat vagy egészségügyi információkat tartalmazó e-mail, amely nagy számú hibás címzetthez ment. A szervezet, amely a hibát elkövette, maga végzi el ezt az értékelést, és maga dönt arról, hogy jelenti-e az adatsértést.

Ez az AVG 33. cikkéből következik

A személyes adatok védelmi szabályzatának megsértésének meghatározása és a 72 óra alatti bejelentési kötelezettséggel történő összekapcsolása az AVG 33. cikkében szerepel; a személyes adatok kezelésére felügyelő hatóság weboldalán kifejtésre kerül, hogy ezt a kockázatértékelést a gyakorlatban miként végzik. Az AVG mint rendelet közvetlenül érvényes minden tagállamban, így ez a lényeg mindenhol azonos — ami eltérő, az a bejelentés helye. Hollandiában ezt a személyes adatok kezelésére felügyelő hatóság végzi, mint egyetlen nemzeti felügyeleti hatóság. Németországban máshogy működik: egy szervezet az adott szövetségi tartomány felügyeleti hatóságához jelent, ahol a telephelye található, és tizenhat tartományi felügyeleti hatóság mellett a szövetségi BfDI is működik.