Czy wysłanie e-maila do błędnego odbiorcy stanowi naruszenie bezpieczeństwa danych?

Błędnie wysłana wiadomość e-mail może stanowić naruszenie bezpieczeństwa danych

Wiadomość e-mail wysłana do niewłaściwego odbiorcy mieści się w definicji naruszenia bezpieczeństwa danych, jaką stosuje RODO: dochodzi wówczas do naruszenia bezpieczeństwa prowadzącego do niechcianego dostępu do danych osobowych przez osobę, która do tego nie ma uprawnień. Niezależnie od tego, czy chodzi o CV, fakturę z adresem czy wewnętrzne memorandum z nazwiskami — w momencie gdy dane osobowe trafią do niewłaściwej osoby, kwalifikacja jako "naruszenie bezpieczeństwa danych" jest z zasady uzasadniona.

Fakt, że coś stanowi naruszenie bezpieczeństwa danych, nie oznacza automatycznie obowiązku zgłoszenia. Artykuł 33 RODO wiąże obowiązek zgłoszenia do organu nadzorczego z ryzykiem, jakie naruszenie stanowi dla praw i wolności osoby, której dane dotyczą: jak wrażliwe są dane, ile osób zostało dotkniętych i czy wiadomość e-mail została wycofana lub pozostała nieotwarta. Błędnie wysłana wiadomość e-mail zawierająca tylko imię i nazwisko oraz godzinę spotkania ma inne znaczenie niż wiadomość zawierająca dane finansowe lub informacje o zdrowiu wysłana do dużej grupy niewłaściwych odbiorców. Tę ocenę przeprowadza sama organizacja, która popełniła błąd, i to ona sama decyduje o tym, czy dokonać zgłoszenia.

Wynika to z artykułu 33 RODO

Definicja naruszenia bezpieczeństwa danych osobowych i powiązanie z obowiązkiem zgłoszenia w ciągu 72 godzin znajdują się w artykule 33 RODO; Urząd Ochrony Danych Osobowych wyjaśnia na swojej stronie dotyczącej zgłaszania naruszeń bezpieczeństwa danych, jak w praktyce przeprowadza się tę ocenę ryzyka. RODO obowiązuje jako rozporządzenie bezpośrednio w każdym państwie członkowskim, dlatego ten rdzeń jest wszędzie taki sam — co się różni, to miejsce zgłoszenia. W Polsce jest nim Urząd Ochrony Danych Osobowych, jako jedyny krajowy organ nadzorczy. W Niemczech jest inaczej: tam organizacja zgłasza się do organu nadzorczego kraju związkowego, w którym znajduje się jej siedziba, a obok federalnego BfDI działa szesnaście krajowych organów nadzorczych.