W ostatnich dniach prezes UODO nałożył na zakład ubezpieczeniowy karę 160 tys. zł. Naruszenie polegało na wysłaniu e-mailem analizy potrzeb oraz oferty ubezpieczenia, gdzie znajdowały się imię, nazwisko, numer PESEL, miejscowość, kod pocztowy czy informacja o przedmiocie ubezpieczenia do niewłaściwego odbiorcy. Informację o zdarzeniu prezes UODO otrzymał od pośrednika ubezpieczeniowego, którego pracownik pomylił się przy wpisywaniu adresu e-mail. Pośrednik jest administratorem takich danych klienta, jak imię i nazwisko. Co do pozostałych danych podmiotem zobowiązanym do zgłoszenia naruszenia były zakłady ubezpieczeniowe, które składały ofertę. Z tego powodu UODO zwróciło się do zakładów o wyjaśnienie, czy posiadają wiedzę o zajściu i czy dokonały analizy zdarzenia. W odpowiedzi jeden z ubezpieczycieli stwierdził, że wprawdzie doszło do naruszenia, jednak w jego ocenie nie było konieczne notyfikowanie go. Zdaniem organu sposób, w jaki spółka dokonała oceny, był błędny.
Na cudzych błędach
Niedawno prezes UODO ukarał spółkę za niewdrożenie skutecznego mechanizmu reagowania na incydenty we współpracy z firmą kurierską. Spółka wysyłała do klientów umowy na świadczenie usług oraz swoje produkty. Niekiedy przesyłki były wydawane przez kurierów niewłaściwej osobie. Równie często dochodziło do zagubienia przesyłek lub ich kradzieży. Mimo że błąd leżał po stronie przewoźnika, takie sytuacje mogą stanowić incydent bezpieczeństwa, który w sprawie danych znajdujących się w środku przesyłki obciąża adresata-administratora. Ponieważ spółka przesyłała klientom umowy, przy ocenie powagi naruszenia należało wziąć pod uwagę takie dane jak numer PESEL, seria i numer dowodu osobistego czy inne dane wskazywane w umowie. Wprawdzie spółka dokonywała zgłoszeń i informowała klientów o zdarzeniu prawidłowo, bo w ciągu 72 godzin od otrzymania informacji o zdarzeniu od firmy kurierskiej, ale przy analizie sprawy UODO zwrócił uwagę na znaczny upływ czasu między datą zdarzenia a jego stwierdzeniem i zgłoszeniem. Ponad 60 proc. naruszeń w okresie od stycznia do maja 2020 r. było zgłoszonych w terminie przekraczającym 60 dni od zagubienia przesyłki lub pomyłki kuriera. W konsekwencji prawidłowi odbiorcy paczek byli informowani o możliwych konsekwencjach, które mogą ich spotkać, np. możliwości nadużyć finansowych lub zawarcia umowy w ich imieniu, z dużym opóźnieniem. UODO stwierdził, że brak szybkiej reakcji ze strony podmiotu współpracującego (firma kurierska informowała spółkę o błędach w doręczeniach po kilkudziesięciu dniach) nie zwalnia administratora z odpowiedzialności za naruszenia.
Wcześniejsza głośna sprawa dotyczyła wysłania e-maila z niezabezpieczonym hasłem załącznikiem do niewłaściwego odbiorcy. Błąd pracownika kosztował spółkę 136 tys. zł. W załączniku znajdowały się imiona, nazwiska, adresy e-mail, numery telefonów i daty rejestracji 259 osób. Po wykryciu incydentu spółka odebrała oświadczenie od odbiorcy, że trwale zniszczył załącznik. Spółka oceniła również o powagę naruszenia zgodnie z rekomendowaną przez UODO metodologią ENISA, uzyskując wynik, który pozwala na nienotyfikowanie zdarzenia do UODO ze względu na niskie ryzyko naruszenia praw osób, których dane były w załączniku. Informacje o wydarzeniu UODO otrzymał od nieprawidłowego odbiorcy, wobec czego wszczął postępowanie. Jakich błędów się dopatrzył?
Po pierwsze, spółka w swoich obliczeniach nie uwzględniła, że końcowy wynik ENISY powinien być podwyższony, jeżeli zdarzenie obejmuje dane znacznej liczby osób. Dodatkowo odebranie oświadczenia o usunięciu załącznika nie jest skutecznym środkiem minimalizującym ryzyko negatywnych skutków. Zostało ono odebrane po znacznym upływie czasu, tj. po pięciu dniach. Bezpieczniejsze byłoby odebranie oświadczenia, że odbiorca nie wykorzystał załącznika w żaden sposób, nie skopiował go i nie ujawnił innym osobom. Uzyskanie informacji od odbiorcy o jego działaniu zostało ocenione jako okoliczność łagodząca, więc kara była niska.
Ciekawe naruszenie zdarzyło się na jednej z polskich uczelni. Zeszłoroczna sesja egzaminacyjna ze względów pandemicznych odbywała się online. Studenci byli identyfikowani poprzez okazanie dowodu osobistego lub legitymacji studenckiej. Przebieg egzaminu był nagrywany. Po zakończeniu jednego z egzaminów pracownik uczelni nie zamknął pokoju wirtualnego, wobec czego dostęp do nagrań mieli inni studenci. Mimo nalegań studentów, którzy zaczęli zastrzegać swoje dowody osobiste, władze uczelni nie zgłosiły zdarzenia do UODO.
