Ali je e-pošta napačnemu naslovniku kršitev varnosti podatkov?

Napačno poslana e-pošta je lahko kršitev podatkov

E-pošta, ki jo prejme napačni prejemnik, spada pod definicijo kršitve podatkov, kot jo uporablja GDPR: gre za kršitev varnosti, ki vodi v neželeno vpogled v osebne podatke s strani osebe, ki zanjo nima pravice. Ne glede na to, ali gre za življenjepis, račun s številko stavbe ali interno memor s spreminjajočimi podatki — takoj ko osebni podatki dosežejo napačno osebo, je oznaka »kršitev podatkov« načeloma na mestu.

Dejstvo, da je nešto kršitev podatkov, ne pomeni samodejno, da je treba biti prijavljen. Člen 33 GDPR povezuje obveznost prijave nadzorniku s tveganjem, ki izhaja iz kršitve za pravice in svoboščine osebe, na katero se nanašajo podatki: kako občutljivi so podatki, koliko ljudi je prizadeto in ali je bila e-pošta priklicana ali je ostala neopravljna. Napačno poslana e-pošta samo s imenom in časom sestanka je drugačna od e-poštnega sporočila s finančnimi podatki ali informacijami o zdravju, poslanega veliki skupini napačnih prejemnikov. To tehtanje naredi organizacija, ki je naredila napako, in ona sama odloči tudi, ali bo prijavila.

To izhaja iz člena 33 GDPR

Definicija kršitve varnosti osebnih podatkov in povezava z obveznostjo prijave v roku 72 ur sta navedeni v členu 33 GDPR; nadzorni organ na njegovi strani o prijavljanju kršitev podatkov pojasnjuje, kako se v praksi naredi ta ocena tveganja. GDPR velja kot uredba neposredno v vsaki državi članici, zato je to jedro povsod enako — kar se razlikuje, je kraj prijave. Na Nizozemskem je to nadzorni organ, edini nacionalni nadzornik. V Nemčiji je drugače: tam organizacija prijavi pri nadzorniku zvezne dežele, kjer se nahaja sedež, in obstaja šestnajst nadzornikov dežel poleg federalnega BfDI.