O naruszeniu ochrony danych osobowych w Santander Bank Polska S.A. prezes UODO dowiedział się z mediów. Naruszenie polegało na upublicznieniu dokumentów bankowych, znajdujących się w porzuconej na jednym z osiedli przesyłce. Wcześniej przesyłka skradziona firmie kurierskiej. W dokumentach były m.in. imiona i nazwiska, daty urodzenia, numery rachunków bankowych, dane adresowe i kontaktowe, numery PESEL, nazwy użytkowników i hasła do banku, dane o zarobkach, seria i numery dowodu osobistego, informacje o produktach bankowych.
Nie ma znaczenia ile osób widziało skradzione dane
Administrator danych tłumaczył, że nie zgłosił tego naruszenia, gdyż przesyłka została odnaleziona przez jedną zidentyfikowaną osobę krótko po jej utracie przez kuriera. Osoba, która znalazła dokumenty, zaniosła je bezpośrednio na posterunek policji i oświadczyła, że nie kopiowała znalezionych dokumentów. Ustalono też, że w przesyłce nie brakowało żadnych dokumentów.
Prezes UODO uznał jedna, że oceniając ryzyko naruszenia, bank powinien oceniać przez pryzmat osób, których dane zostały ujawnione, a nie przez pryzmat własnych interesów.
„Brak zawiadomienia o naruszeniu ochrony danych osobowych osób dotkniętych tym naruszeniem, w przypadku wystąpienia wysokiego ryzyka naruszenia ich praw lub wolności, pozbawia je nie tylko możliwości odpowiedniej reakcji na naruszenie, ale również możliwości dokonania samodzielnej oceny naruszenia, które może powodować dla nich poważne konsekwencje. Brak zgłoszenia naruszenia ochrony danych osobowych Prezesowi UODO pozbawia z kolei organ nadzorczy możliwości odpowiedniej reakcji na naruszenie, a więc oceny ryzyka naruszenia dla praw lub wolności osoby fizycznej, ale również szansy na weryfikację, czy administrator zastosował właściwe środki w celu zaradzenia naruszeniu i zminimalizowania negatywnych skutków dla osób, których dane dotyczą. Organ nie jest wówczas w stanie ocenić czy administrator zastosował odpowiednie środki bezpieczeństwa w celu zminimalizowania ryzyka ponownego wystąpienia naruszenia.” - wyjaśnił Prezes UODO.
Uznał też, że bez znaczenia jest to, że dane zostały udostępnione tylko jednej zidentyfikowanej osobie. Liczy się bowiem fakt, że przesyłka została odnaleziona przez tę osobę. Poza tym administrator nie ma pewności, ile osób mogło wcześniej mieć dostęp do porzuconej przesyłki.
