Ar el. laiškas, išsiųstas ne tam adresatui, yra duomenų saugos pažeidimas?

Klaidingai išsiųstas el. laiškas gali būti duomenų nuotėkis

El. laiškas, kuris pasiekia netinkamą gavėją, atitinka duomenų nuotėkio apibrėžimą, kurį vartoja GDPR: tai yra saugumo pažeidimas, dėl kurio asmeniniai duomenys netyčia atsiskleidžia asmeniui, kuris į juos neturi teisės. Nesvarbu, ar tai yra gyvenimo aprašymas, sąskaita su adresu, ar vidinis memorandumas su vardais — kai tik asmeniniai duomenys pasiekia netinkamą asmenį, "duomenų nuotėkis" iš principo tampa taikytinas.

Tai, kad kažkas yra duomenų nuotėkis, automatiškai nereiškia, kad jį reikia pranešti. GDPR 33 straipsnis sulieja pranešimo prievolę priežiūros institucijai su rizika, kuri gali kilti dėl pažeidimo asmenų, kurių duomenys yra paveikti, teisėms ir laisvėms: kaip jautrūs duomenys, kiek žmonių buvo paveikta, ir ar el. laiškas buvo atšauktas arba likęs neatverytas. El. laiškas, neteisingai išsiųstas su tik vardu ir susitikimo laiku, sveriamas kitaip nei el. laiškas su finansiniais duomenimis ar sveikatos informacija, siųstas didelei grupei neteisingų gavėjų. Šią vertintį atlieka pati organizacija, kuri padarė klaidą, ir ji pati nusprendžia, ar pranešti.

Tai kyla iš GDPR 33 straipsnio

Asmeninių duomenų saugumo pažeidimo apibrėžimas ir pranešimo pareiga per 72 valandas yra GDPR 33 straipsnyje; Valstybinė duomenų apsaugos tarnyba savo puslapyje apie duomenų nuotėkių pranešimą paaiškinėja, kaip praktikoje atliekama ši rizikos vertinimo procedūra. GDPR kaip reglamentas tiesiogiai galioja kiekvienoje valstybėje narėje, todėl šis pagrindas yra vienodas visur — tai, kas skiriasi, yra pranešimo adresatas. Nyderlanduose tai yra Valstybinė duomenų apsaugos tarnyba, kaip vienintelė nacionalinė priežiūros institucija. Vokietijoje yra kitaip: ten organizacija praneša priežiūros institucijai valstijos, kurioje yra jos buveinė, ir yra šešiolika valstijų priežiūros institucijų šalia federalinės BfDI.