Кожен контролер зобов'язаний вживати відповідних технічних та організаційних заходів для забезпечення цілісності, конфіденційності та доступності обробки персональних даних. Тому всі дії з обробки, що здійснюються контролером, повинні відображати ризик-орієнтований підхід.
Під час здійснення діяльності з обробки персональних даних контролер повинен забезпечити належний захист кожної операції обробки. Однак іноді, незважаючи на вжиття контролером необхідних заходів та укладення конкретних угод, спрямованих на захист персональних даних, порушення безпеки даних відбувається не з вини контролера. Така ситуація виникає, наприклад, у випадку надсилання посилок. Контролер може внутрішньо організувати весь процес обробки кореспонденції таким чином, щоб зменшити ризик порушень, тобто оптимізувати його, щоб забезпечити адресацію посилок правильним одержувачам, вміст конвертів був адресований правильним одержувачам, не втрату посилок у приміщенні контролера та їх належну реєстрацію. Однак це не впливає на доставку посилок одержувачам, які повинні бути доставлені через поштового оператора, особливо якщо йдеться про оператора, призначеного для надання універсальних послуг з 2016 по 2025 рік, тобто Poczta Polska.
Відповідно до статті 41 Закону від 23 листопада 2012 року – Поштовий закон – оператор поштового зв’язку зобов’язаний зберігати поштову таємницю, що включає:
- інформація, що передається поштовими відправленнями,
- інформація про виконання поштових переказів,
- дані про суб'єктів, які користуються поштовими послугами , та
- дані щодо факту та обставин надання поштових послуг або використання цих послуг.
Закон також вказує, що порушення зобов'язання зберігати поштову таємницю включає, зокрема, розголошення або обробку інформації чи даних, що охоплюються поштовою таємницею, відкриття запечатаних поштових відправлень або ознайомлення з їх вмістом, а також надання можливості неавторизованим особам здійснювати певні дії, що впливають на порушення поштової таємниці.
Однак пам’ятайте, що це відкритий каталог, тому втрата посилки, щодо якої немає інформації про те, чи була вона відкрита, також вважатиметься порушенням конфіденційності.
Поштовий оператор також зобов'язаний виявляти належну ретельність, наскільки це виправдано технічними або економічними причинами, у захисті пристроїв та засобів, що використовуються для надання поштових послуг, та наборів даних від розголошення поштової таємниці.
У рішенні Верховного адміністративного суду від 28 червня 2022 року, II GSK 265/19, Суд зазначив, що порушення принципу таємниці листування, що розуміється як можливість ознайомлення зі вмістом відправлення, завжди слід кваліфікувати як порушення положень про обов'язок зберігати таємницю листування, незалежно від того, чи таке ознайомлення зі вмістом відправлення фактично відбулося. У такому випадку це завжди призводить до загрози безпеці поштового руху та життєво важливим інтересам суб'єктів, які користуються поштовими послугами.
Незважаючи на це структуроване регулювання, контролером даних відправника та одержувача буде поштовий оператор, але відправник нестиме відповідальність за забезпечення належного захисту персональних даних, що містяться у відправленні. Це також підтверджується судовою практикою Воєводського адміністративного суду у Варшаві, який у липні 2022 року за скаргою, поданою контролером даних, виніс рішення, в якому постановив, що відправник відправлення є контролером даних, що містяться в документах у листуванні, оскільки лише він має інформацію про дані, що передані у відправленні. Тому у разі втрати або відкриття відправлення неавторизованою особою відправник повинен виконати зобов'язання, пов'язані з порушенням. Польський наглядовий орган (PUODO) наклав адміністративний штраф у розмірі 363 000 злотих у цій справі та зобов'язав контролера даних повідомити суб'єктів даних про порушення.
Чинний голова Управління із захисту персональних даних (UODO) звернув увагу на масштаби порушень захисту персональних даних, пов’язаних із втратою посилок, надісланих контролерами даних. Він зазначив, що посилки часто містять дані спеціальної категорії, і тому така подія автоматично є порушенням захисту персональних даних, що створює високий ризик для прав і свобод суб’єктів даних. Відповідно, у листі від 2 квітня 2024 року голова UODO звернувся до голови Поштової служби Польщі з проханням вжити термінових заходів для усунення таких інцидентів.
Питання втрати посилок вже порушувалося наглядовим органом у 2019-2020 роках. Тоді поштовий оператор зобов'язався проводити навчання співробітників та підвищувати обізнаність щодо захисту персональних даних. Ще одне важливе питання, порушене президентом Управління захисту персональних даних, полягає в тому, чи здійснює Poczta Polska моніторинг раніше впроваджених заходів щодо посилення безпеки посилок та чи будуть вжиті кроки для впровадження нових механізмів забезпечення захисту персональних даних.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Правовий статус станом на 30 квітня 2024 року.
автор:
