У жовтні цього року Голова Управління із захисту персональних даних наклав високий штраф на Bank Millenium SA у розмірі 363 832 злотих (80 000 євро) за неповідомлення органу про порушення захисту персональних даних протягом встановленого законом терміну в 72 години з моменту його виявлення, а також за неналежне інформування про це постраждалих осіб.
Подія
У 2019 році кур'єрська компанія втратила дві посилки з документами, пов'язаними з процедурою відкриття банківських рахунків для двох клієнтів банку Millennium. Персональні дані, що містилися в документації, включали імена, адреси, PESEL (польський національний ідентифікаційний номер), CIF (ідентифікаційний номер клієнта) та номери банківських рахунків.
Клієнтів було повідомлено про інцидент, але банк, який є контролером персональних даних у цій ситуації, після проведення аналізу вирішив, що ризик негативних наслідків для осіб, яких торкнулося порушення, був недостатньо високим, щоб повідомити про порушення наглядовому органу (UODO).
Голова Управління із захисту персональних даних у своєму рішенні наголосив, що «для виникнення зобов’язання повідомляти про порушення (...) не обов’язково, щоб негативні наслідки порушення настали; у цьому відношенні достатньо лише можливості (ризику) виникнення таких наслідків». Крім того, згідно з рекомендаціями Робочої групи статті 29, було згадано, що «у разі будь-яких сумнівів контролер повинен повідомити про порушення, навіть якщо така обережність може виявитися надмірною.
Крім того, було зазначено, що якщо необхідно інформувати осіб, яких торкнулося порушення, мають бути виконані всі елементи, зазначені в GDPR (стаття 34, пункт 2).
Штраф
Управління із захисту персональних даних (UODO) наклало високий штраф на Bank Millenium SA у розмірі 363 832 злотих (80 000 євро) за неповідомлення органу про порушення захисту персональних даних протягом встановленого законом терміну 72 годин з моменту його виявлення, а також за неналежне інформування осіб, яких торкнувся інцидент.
Рекомендація
Важливо пам’ятати про належну обробку персональних даних. Однак, якщо виявлено порушення, як демонструє цей випадок, необхідно провести ретельний аналіз, щоб визначити ризик порушення прав і свобод постраждалих. Якщо аналіз показує, що такий ризик малоймовірний, немає потреби повідомляти про інцидент до відповідного органу. Однак важливо зазначити, що Управління захисту персональних даних (UODO) може вимагати обґрунтування такого рішення. Тому висновки аналізів повинні бути зафіксовані у внутрішніх протоколах порушень.
Це сповіщення надано лише для ознайомлення та не є юридичною консультацією.
