Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 1 lipca 2022 r. potwierdził że to bank jest administratorem danych osobowych zawartych w zgubionej przesyłce (nadanej przez bank) i to on powinien zgłosić naruszenie.

Nie ma znaczenia w tym przypadku fakt, że przesyłka została zgubiona z winy kuriera.

Operator pocztowy jest administratorem jedynie danych widniejących na kopercie, a więc niezbędnych do dostarczenia przesyłki.

W rozpatrywanej sprawie zaginęła przesyłka zawierająca dokumenty z danymi osobowymi klienta (imię, nazwisko, PESEL, adres, numer rachunku bankowego).

Bank nie posiadał informacji co się stało z przesyłką – nie wiedział więc czy z danymi zawartymi w dokumentach nie zapoznały się osoby nieuprawnione.  

Należało w tej sytuacji zgłosić ten fakt do Prezesa UODO oraz powiadomić osoby, których dane znajdowały się w przesyłce.

Bank tego nie zrobił, wobec czego musi zapłacić karę w wysokości ponad 363 tys. zł.

Wyrok WSA stanowi przestrogę dla wszystkich administratorów danych, którzy przesyłają pocztą dokumenty zawierające dane osobowe – w tym pracodawców.

W wyniku zgubienia takiej przesyłki, dochodzi bowiem do naruszenia bezpieczeństwa danych osobowych i możliwe jest ich nieuprawnione ujawnienie.

Jeżeli administrator utracił kontrolę nad przesyłką i nie wie co się z nią stało, należy obowiązkowo powiadomić o tym fakcie Prezesa UODO i osoby, których dane dotyczą.

Więcej artykułów o prawie HR w newsletterze – PRO HR sierpień 2022