В решението си UODO отбелязва, че научава за проблем с лични данни не от администратора Głównego Geodetę Kraju, а от прессъобщение, като това е трето нарушение на GDPR
Полският надзорен орган за защита на личните данни (UODO) получава информация от омбудсмана по правата на пациентите за възможно нарушение на личните данни в Университетския клиничен център на Медицинския университет във Варшава. Един от пациентите е получил направление от лекар за специализирана клиника, съдържащо лична информация за друго лице – собствено име, фамилия, адрес на местоживеене, ЕГН (PESEL номер) и информация за здравословно състояние (информация за диагнозата).
В хода на производството администраторът е потвърдил, че има погрешно въвеждане в направлението за специализирана клиника на лични данни на друг пациент, но след анализ класифицира инцидента като инцидент със сигурността без значителни последици за правата и свободите на субекта на данните.
Поради това администраторът решава да не уведоми надзорния орган за нарушението на сигурността на личните данни, както и да не съобщи за нарушението на сигурността на личните данни субекта на данните.
Според UODO документът, издаден от лекаря, всъщност съдържа само грешка в името на пациента, докато останалите данни, съдържащи се в горепосоченото направление, т.е. име, адрес на пребиваване и ЕГН (PESEL номер ), са данните на пациента. Следователно не може да се счита, че инцидентът засяга несъществуващо лице. Въпреки грешката в името на този човек, той или тя може лесно да бъде идентифициран.
Полският надзорен орган налага административна глоба от 10 000 злоти на Университетския клиничен център на Медицинския университет във Варшава. Според UODO администраторът съзнателно не е уведомил за нарушението на сигурността на личните данни надзорния орган и субекта на данните, въпреки че е узнал за инцидента от омбудсмана по правата на пациентите и въпреки писмата, адресирани до него, като се посочва възможността за висок риск за правата или свободите на субекта на данните.
UODO отбелязва, че разкриването на неупълномощен получател на лични данни на друго лице, представлява нарушение и на медицинската поверителност.
UODO налага и трета глоба на службата по геодезия на Полша, този път за неуведомяване за нарушение на сигурността на личните данни.
В началото на април 2022 г. номерата на поземления и ипотечен регистър са видими за повече от 48 часа в услугата, поддържана от службата в портала www.geoportal.gov.pl. . С номер на поземлен и ипотечен регистър е лесно да се определи набор от данни на собствениците на имоти, включително inter alia техните лични идентификационни номера (PESEL номера), собствени и фамилни имена, имена на родители и адрес на имота.
UODO обаче научава за нарушението на личните данни не от администратора, който трябва да уведоми надзорния орган, а от медиите. Поради това в писмо от 7 април 2022 г. надзорният орган информира Głównego Geodetę Kraju (GGK) за задължението да уведоми надзорния орган за нарушенията на сигурността на личните данни и за необходимостта да го съобщи на засегнатите лица, когато има вероятност да води до висок риск за правата и свободите на физическите лица.
Тъй като не получава уведомление за нарушение на сигурността на личните данни от GGK, надзорният орган образува административно производство. По време на това производство GGK поддържа тезата, че номерата на поземления и ипотечен регистър не представляват лични данни. Освен това GGK смята, че номерата на поземления и ипотечния регистър са видими и в други услуги, както и краткото появяване на номерата на www.geoportal.gov.pl не е довело до риск за правата и свободите на физическите лица. В административното си решение полският надзорен орган припомня дефиницията на лични данни, посочена в член 4, параграф 1 от GDPR..
UODO цитира решението на Варшавски съд, в което съдът потвърждава, че номерата на поземления и ипотечния регистър представляват лични данни.
UODO налага поредна административна глоба, този път в размер на 60 000 злоти на GGK.
Това е третата административна глоба, наложена на GGK от влизането в сила на GDPR. При издаването на решението за налагане на административната глоба UODO взема предвид, наред с други неща, че според него нарушението на сигурността на личните данни е със сериозен характер, не е уведомен за инцидента, а и умишлено засегнатите не са информирани.
От значение за определяне на глобата е и фактът, че надзорният орган научава за нарушението на личните данни от медиите, а не от самия администратор.