Bank ukarany za niezawiadomienie bez zbędnej zwłoki o naruszeniu

Bank Santander został ukarany karą w wysokości 545 tys. złotych za niezawiadomieniu bez zbędnej zwłoki osób, których dane dotyczą, o zdarzeniu polegającym na naruszeniu. Do naruszenia doszło, ponieważ były pracownik banku posiadał nieuprawniony dostęp do profilu płatnika w platformie usług ZUS. Zdarzenie to uznano za naruszenie poufności czyli istotnej zasady, która wiąże się z wysokim ryzykiem. Istotnym jest że osoba nieuprawniona miała możliwość zapoznania się z danymi osobowymi, miała do nich dostęp.

W niniejszej sprawie kluczowe jest jednak naruszenie art. 34 ust.1 Rodo polegające na niezawiadomieniu o naruszeniu bez zbędnej zwłoki osoby, której danych dotyczy. Podkreśla się także, że obowiązek zawiadomienia osoby fizycznej o naruszeniu nie jest uzależniony od materializacji negatywnych konsekwencji dla takiej osoby, ale od samej możliwości wystąpienia takiego ryzyka.W uzasadnieniu decyzji wskazano, że zawiadomienie nie dość, że powinno być dokonane to jeszcze powinno się to stać jak naszybciej. Samo zawiadomienie powinno wskazywać charakter naruszenia „Najważniejsze, aby osoby, których dane dotyczą, zrozumiały charakter naruszenia i wiedziały, co muszą zrobić, aby się zabezpieczyć".

W uzasadnieniu decyzji znajdują się także odniesienia do konieczności aktualnego prowadzenia przez administratora rejestru osób upoważnionych, w szczególności ich aktualizacja o osoby, które już dla administratora nie pracują. Osoby, które nie maja już statutu pracownika powinny nie mieć dostępu do danych. Niedopuszczalnym jest by miały go po tym jak zakończyły swoją prace u administratora.

Brak wiedzy o naruszeniu stanowi brak możliwości podjęcia przez te osoby działań zmierzających do ochrony swoich praw i zminimalizowania ryzyka. Czas trwania tej niewiedzy ma również bardzo duże znaczenie im dłuższy tym naruszenie jest poważniejsze. Decyzja o niezawiadomieniu o naruszeniu bank podjął umyślnie, świadomie podejmując taką decyzję co w ocenie organu nadzoru również wpłynęło na karę.

kontakt: d.rychlik@kancelariaattorney.pl

instagram: rychlik.daria