Podstawa prawna naruszenia
Art. 33 ust. 1, art. 34 ust. 1 RODO.
Niewystarczające wypełnienie obowiązków powiadamiania o naruszeniu danych.
Przyczyna naruszenia
Naruszenie ochrony danych osobowych przez ENEA S.A. polegało na wysłaniu korespondencji przez pracownika podmiotu przetwarzającego, tj. ENEA Centrum Sp. z o.o., która świadczy na rzecz ENEA S.A. usługę wysyłki umów. Korespondencja zawierała umowę i została wysłana na niewłaściwy adres, co skutkowało ujawnieniem danych osobowych nieuprawnionej osobie. Spółka nie zgłosiła tego naruszenia Prezesowi Urzędu Ochrony Danych Osobowych (UODO) w wymaganym terminie 72 godzin oraz nie powiadomiła osoby, której dane dotyczyły, o naruszeniu.
Opis wydarzeń
- Incydent: Wysłanie umowy zawierającej dane osobowe klientki na niewłaściwy adres w lipcu 2020 roku.
- Zakres ujawnionych danych: Ujawnione dane osobowe obejmowały imię i nazwisko, numer PESEL, dane teleadresowe i adres e-mail.
- Odkrycie naruszenia: Spółka dowiedziała się o naruszeniu w listopadzie 2020 roku, kiedy otrzymała pismo od pełnomocnika klientki.
- Brak zgłoszenia: ENEA S.A. nie zgłosiła naruszenia Prezesowi UODO ani nie powiadomiła osoby, której dane dotyczyły o naruszeniu, uznając, że ryzyko naruszenia praw lub wolności osób fizycznych jest małe.
- Postępowanie administracyjne: Prezes UODO wszczął postępowanie administracyjne w marcu 2023 roku po otrzymaniu informacji o naruszeniu od Sądu Okręgowego.
- Decyzja: Nałożono na ENEA S.A. administracyjną karę pieniężną w wysokości 282.960 PLN oraz nakazano powiadomienie osoby, której dane zostały ujawnione.
Źródło
Pełna treść decyzji organu nadzorczego
Aby uniknąć podobnych naruszeń, zalecamy:
- Zgłaszanie naruszeń: Należy bez zbędnej zwłoki zgłaszać naruszenia ochrony danych osobowych Prezesowi UODO, nie później niż w terminie 72 godzin od ich stwierdzenia.
- Powiadamianie osób: Osoby, których dane dotyczą, powinny być niezwłocznie powiadamiane o naruszeniu, szczególnie gdy istnieje wysokie ryzyko naruszenia ich praw lub wolności.
- Ocena ryzyka: Analiza ryzyka naruszenia praw lub wolności osób fizycznych powinna być przeprowadzana z perspektywy osoby, której dane dotyczą, a nie interesów administratora.
- Środki zaradcze: Wdrożenie odpowiednich środków technicznych i organizacyjnych w celu minimalizacji ryzyka naruszeń oraz ich skutków.
- Ewidencja naruszeń: Prowadzenie wewnętrznej ewidencji naruszeń ochrony danych osobowych, nawet jeśli nie są one zgłaszane organowi nadzorczemu.
Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu
