Błąd klienta nie usprawiedliwia ubezpieczyciela

Przyczynienie się przez osobę fizyczną, której dane osobowe dotyczą, do wystąpienia naruszenia ochrony danych osobowych nie zwalnia administratora z obowiązku niezwłocznego zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych.

9 grudnia 2020 roku Prezes Urzędu Ochrony Danych Osobowych (decyzją o numerze DKN.5131.5.2020) nałożył na TUiR WARTA S.A. karę pieniężną w wysokości 85 588 złotych za naruszenie: art. 33 ust. 1 RODO, tj. za niezgłoszenie naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin od stwierdzenia naruszenia oraz art. 34 ust. 1 RODO, tj. za niezawiadomienie o naruszeniu ochrony danych osobowych, bez zbędnej zwłoki osób, których dane dotyczą.

PUODO w maju 2020 roku otrzymał od osoby trzeciej zawiadomienie o naruszeniu, polegającym na przesłaniu pocztą elektroniczną wiadomości z polisą ubezpieczeniową, przez podmiot przetwarzający w stosunku do TUiR WARTA S.A. na adres e-mail nieuprawnionej osoby trzeciej. W wyniku naruszenia poufności, ujawnieniu uległy imiona, nazwiska, adresy zamieszkania lub korespondencyjne, numery PESEL, numery telefonów, adresy poczty elektronicznej oraz informacje dotyczące samochodu osobowego (przedmiot ubezpieczenia).

PUODO wezwał TUiR WARTA S.A. do wyjaśnienia, czy w związku ze zdarzeniem przeprowadzono analizę ryzyka naruszenia praw i wolności osób fizycznych pod kątem obowiązku zawiadomienia PUODO oraz osób fizycznych, których dane osobowe dotyczą.

W odpowiedzi TUiR WARTA S.A. wskazała, że nie doszło do naruszenia skutkującego koniecznością zawiadomienia Prezesa UODO, ponieważ:

1. klient sam...