Podstawa prawna naruszenia
Art. 33 ust. 1, art. 34 ust. 1 RODO.
Niewystarczające wypełnienie obowiązków powiadamiania o naruszeniu danych.
Przyczyna naruszenia
Naruszenie ochrony danych osobowych przez TUiR WARTA S.A. polegało na wysłaniu polisy ubezpieczeniowej zawierającej dane osobowe 2 osób do nieuprawnionego adresata. Dane te obejmowały imiona, nazwiska, adresy zamieszkania, numery PESEL, numery telefonów, adresy e-mail oraz informacje dotyczące przedmiotu ubezpieczenia.
Opis wydarzeń
- Zgłoszenie naruszenia: Do Urzędu Ochrony Danych Osobowych (UODO) wpłynęła informacja o naruszeniu ochrony danych osobowych. Naruszenie zostało zgłoszone przez nieuprawnionego adresata, który otrzymał dokumenty zawierające dane osobowe.
- Działania UODO: UODO zwrócił się do Spółki o wyjaśnienia dotyczące analizy ryzyka naruszenia praw i wolności osób fizycznych. Spółka potwierdziła naruszenie, ale uznała, że nie doszło do wysokiego ryzyka naruszenia praw i wolności osób fizycznych.
- Ocena UODO: UODO uznało, że naruszenie poufności danych, w szczególności numerów PESEL, imion, nazwisk, adresów zamieszkania, numerów telefonów oraz adresów e-mail, wiąże się z wysokim ryzykiem naruszenia praw i wolności osób fizycznych. Natomiast Spółka nie dokonała zgłoszenia naruszenia w terminie 72 godzin oraz nie zawiadomiła osób, których dane dotyczą, bez zbędnej zwłoki.
- Postępowanie administracyjne: UODO wszczęło postępowanie administracyjne wobec Spółki.
- Reakcja Spółki: Spółka zgłosiła naruszenie oraz zawiadomiła osoby, których dane dotyczą, dopiero po wszczęciu postępowania administracyjnego.
- Wysokość kary: 85 588 PLN.
Źródło
Pełna treść decyzji organu nadzorczego
Aby uniknąć podobnych naruszeń, zalecamy:
- Zgłaszanie naruszeń:
- Administrator danych powinien zgłaszać naruszenia ochrony danych osobowych UODO bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia.
- W przypadku wysokiego ryzyka naruszenia praw i wolności osób fizycznych, administrator powinien zawiadomić osoby, których dane dotyczą, o naruszeniu ich danych osobowych bez zbędnej zwłoki.
- Środki techniczne i organizacyjne:
- Wdrożenie odpowiednich środków technicznych i organizacyjnych, takich jak weryfikacja adresów e-mail podawanych przez klientów oraz szyfrowanie przesyłanych dokumentów.
- Szkolenia i procedury:
- Przeprowadzenie szkoleń dla pracowników oraz agentów ubezpieczeniowych w zakresie ochrony danych osobowych.
- Opracowanie i wdrożenie procedur minimalizujących ryzyko naruszeń ochrony danych osobowych.
- Monitorowanie i audyty:
- Regularne monitorowanie i audytowanie procesów przetwarzania danych osobowych w celu identyfikacji i eliminacji potencjalnych zagrożeń.
Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu
