Vai e-pasta ziņojums nepareizam adresātam ir datu pārkāpums?

Nepareizi nosūtīts e-pasts var būt datu pārkāpums

E-pasts, kas nonāk nepareizajam saņēmējam, ietilpst datu pārkāpuma definīcijā, kādu piemēro GDPR: šajā gadījumā notiek drošības pārkāpums, kas noved pie nevēlamas personiskās informācijas redzamības personai, kurai uz to nav tiesību. Neatkarīgi no tā, vai tas ir CV, rēķins ar adresi vai iekšējs memo ar vārdiem — tiklīdz personiskā informācija nonāk nepareizajam cilvēkam, termins "datu pārkāpums" parasti ir aktuāls.

Tas, ka kaut kas ir datu pārkāpums, nozīmē, ka tas nav jāziņo iestādei. GDPR 33. pants izskatāmības pienākumu iestādei saista ar risku, ko pārkāpums rada dati subjekta tiesībām un brīvībām: cik jutīgi ir dati, cik cilvēku ir skarts, un vai e-pasts ir atsaukts vai palicis neatvērts. Nepareizi nosūtīts e-pasts tikai ar vārdu un tikšanās laiku tiek novērtēts citādi nekā e-pasts ar finanšu datiem vai veselības informāciju lielai grupai nepareizo saņēmēju. Šo novērtējumu veic pati organizācija, kas pieļāva kļūdu, un tā pati nolēmj, vai ziņo.

Tas izriet no GDPR 33. panta

Personiskās informācijas drošības pārkāpuma definīcija un savienojums ar 72 stundu laikā izskatāmības pienākumu ir GDPR 33. pantā; Eiropas Datu aizsardzības padomes un valstīs darbojošos datu aizsardzības iestādes (Nīderlandē — Autoriteit Persoonsgegevens) norāda, kā šis risku novērtējums praksē tiek veikts. Kā regula GDPR tieši ir spēkā katrai dalībvalstij, tāpēc šī pamatne ir vienāda visur — kas atšķiras, ir vieta, kur tiek paziņots. Nīderlandē tas ir Autoriteit Persoonsgegevens, vienīgā nacionālā uzraudzības iestāde. Vācijā tas ir savādi: tur organizācija ziņo pavaļģa uzraudzības iestādei, kur atrodas tas uzņēmums, un ir sešpadsmit pavaļģu uzraudzības iestādes līdzās federālajai BfDI.