Полският надзорен орган наложи санкция от 51 876 PLN заради липсата на уведомления за нарушение
Полският надзорен орган за защита на данните (UODO) наложи административна глоба от почти 52 000 PLN на жилищна кооперация за неуведомяване за нарушение на сигурността на личните данни на надзорния орган и за неуведомяване на субекта на данните за нарушението. Освен това разпорежда на администратора да уведоми субекта на данните за нарушение на защитата на личните данни.
UODO получава съобщение от трето лице, че му е предоставена информация за член на жилищна кооперация.
Както се вижда от проведеното служебно производство на надзорния орган, инцидентът е станал по време на пресконференция, на която администраторът е предоставил на неупълномощено лице информация за спора между него и член на кооперацията, включително фотокопие от уведомлението за предполагаемо престъпление заедно с такива лични данни като име, фамилия, национален идентификационен номер PESEL и адрес на пребиваване.
Този случай е регистриран от администратора във вътрешния регистър на нарушенията и след анализ на риска от нарушаване на права или свободи той го преценява като нисък.
В случай на нарушение на сигурността на личните данни, всеки администратор е длъжен да докладва на надзорния орган в рамките на 72 часа от откриването му, освен ако е малко вероятно нарушението да доведе до риск за правата или свободите на физическите лица, пише в сайта на UODO.
Администраторът извършва анализ на риска по отношение на възникване на нарушение на правата или свободите на физическите лица, като когато извършеният анализ показва най-много ниска вероятност за възникване на риска, администраторът може да бъде освободен от задължението да уведомява надзорен орган на събитието и да го отрази във вътрешния регистър на нарушенията. Трябва да се отбележи, че този анализ трябва да отчита всички рискове за субекта на данните, а не интересите на администратора. Във въпросния случай администраторът, въпреки че е предоставил документ с данни под формата на име, фамилия, национален идентификационен номер PESEL и адрес, не е извършил задълбочен анализ, а е предоставил на надзорния орган само общ документ в това отношение, без да се отнася до конкретния случай. Според UODO, в този случай няма фактори, намаляващи нивото на вероятност от отрицателни ефекти. На неупълномощено лице е предоставен документ с лични данни на член-кооператор. Без значение е дали това лице действително е извършило деянията, посочени в съобщението за съмнение за извършване на престъпление. Дори обвиненията да се потвърдят, това не означава, че лицето не трябва да бъде защитено.
В ситуация, в която съществува висок риск за правата или свободите на физическите лица, администраторът също е длъжен да уведоми за събитието лицето, чиито данни са били засегнати от нарушението.
Когато рискът е висок, е необходимо субектът на данните да бъде уведомен
Според UODO, като се има предвид разкриването на лични данни, администраторът следва да уведоми субекта на данните за нарушението.
Администраторът следва да посочи на субекта на данните настъпването на възможни негативни последици. Списък с данни като разкрито име, фамилия или PESEL номер е достатъчен, за кражба на самоличност и например измама с поемане на финансови задължения. Затова потърпевшият трябва да бъде информиран за нарушението. Въпреки че негативните последици не са се материализирали, важна е самата възможност за тяхното възникване, пише UODO.