Je e-mail odoslaný nesprávnemu príjemcovi únik údajov?

Nesprávne odoslaný e-mail môže byť porušením ochrany údajov

E-mail, ktorý ide na nesprávneho príjemcu, spadá pod definíciu porušenia ochrany údajov podľa GDPR: ide o porušenie bezpečnosti, ktoré vedie k nežiaducemu prístupu k osobným údajom osobou, ktorá na to nemá právo. Či ide o životopis, faktúru s adresou alebo interný memorandum s menami — akonáhle sa osobné údaje dostanú nesprávnemu príjemcovi, kvalifikácia ako "porušenie ochrany údajov" je v zásade na mieste.

Skutočnosť, že ide o porušenie ochrany údajov, automaticky neznamená, že musí byť nahlásené. Článok 33 GDPR spája povinnosť nahlásenia dozornému orgánu s rizikom, ktoré porušenie predstavuje pre práva a slobody dotknutej osoby: ako citlivé sú údaje, koľko ľudí bolo postihnutých a či bol e-mail vrátený alebo ostal neotvorený. Nesprávne odoslaný e-mail iba s menom a časom stretnutia sa váži inak ako e-mail s finančnými údajmi alebo zdravotníckymi informáciami poslané veľkej skupine nesprávnych príjemcov. Túto úvahu robí samotná organizácia, ktorá urobila chybu, a tiež sám rozhoduje, či podá hlásenie.

Toto vyplýva z článku 33 GDPR

Definícia porušenia ochrany osobných údajov a prepojenie s povinnosťou nahlásenia do 72 hodín sú v článku 33 GDPR; Úrad na ochranu osobných údajov vysvetľuje na svojej stránke o nahlasovaní porušení ochrany údajov, ako sa táto úvaha o riziku v praxi robí. GDPR sa uplatňuje ako nariadenie priamo v každom členskom štáte, takže tento základ je všade rovnaký — čo sa líši, je to, kde sa podáva hlásenie. Na Slovensku je to Úrad na ochranu osobných údajov ako jediný národný dozorný orgán. V Nemecku je to inak: tam organizácia podáva hlásenie dozornému orgánu tej krajiny, kde je sídlo, a je tam pätnásť krajinských dozorných orgánov vedľa federálneho BfDI.