Prezes Urzędu Ochrony Danych Osobowych (UODO) nałożył kolejną karę za brak powiadomienia poszkodowanych osób o wycieku ich danych osobowych. Choć kara w wysokości przekraczającej 4 mln złotych wydaje się niemała, to i tak stanowi jedynie 24 tysięczne procenta obrotów ukaranego mBanku, a zatem daleko jej do maksymalnego wymiaru kary wynikającego z RODO.
Na czym polegało naruszenie?
Wydana decyzja dotyczy zdarzenia, które miało miejsce w czerwcu 2022 r., kiedy to pracownik firmy przetwarzającej dane na zlecenie mBanku przesłał dokumenty zawierające dane osobowe klientów banku do innej instytucji finansowej, niż ta która powinna te dane otrzymać. Choć adresat odesłał do banku przedmiotowe dokumenty, niemniej koperta je zawierająca została otwarta. W konsekwencji, osoby trzecie uzyskały dostęp do danych osobowych i miały możliwość się z nimi zapoznać. Katalog tych danych był zaś szeroki i obejmował: nazwiska i imiona, imiona rodziców, daty urodzenia, numer rachunku bankowego, adres zamieszkania lub pobytu, numer PESEL, dane dotyczące zarobków i/lub posiadanego majątku, nazwisko rodowe matki, seria i numer dowodu osobistego, inne (informacje dotyczące kredytu i nieruchomości). mBank, mimo zobowiązania Prezesa UODO o powyższym zdarzeniu swoich klientów nie powiadomił.
Co na to Prezes UODO?
Jak wynika z uzasadnienia decyzji, Prezes UODO nie przychylił się do argumentacji banku, który brak swoich działań argumentował okolicznością, iż dokumenty omyłkowo trafiły do instytucji, która tak samo jak bank zobowiązana jest do zachowania tajemnicy bankowej, a dodatkowo tym, iż jest to podmiot, z którym bank współpracuje i który ma w jego ocenie status podmiotu zaufanego. Pracownicy tej instytucji potwierdzili, że nie posiadają kopii otrzymanych przez pomyłkę dokumentów zawierających dane osobowe, a zatem w ocenie banku nie stało się nic złego i nie było potrzeby powiadamiać podmiotów danych. Prezes UODO argumentując wydaną decyzję uznał, iż możliwość ujawnienia tak szerokiego katalogu danych osobowych stwarza dla osób, których one dotyczą, ogromne ryzyko. Wobec braku powiadomienia o zdarzeniu, nie mogły one jednak przeciwdziałać jego ewentualnym negatywnym skutkom. Dodatkowo Prezes UODO nie uznał argumentacji banku w zakresie podmiotu zaufanego, jak również podkreślił, że przestrzeganie innych tajemnic prawnie chronionych (np. bankowej) nie zwalnia z obowiązków wynikających z RODO. Jak zauważył Prezes UODO, zachowanie banku jest przykładem lekceważenia praw osób, których dane osobowe przetwarza jako administrator oraz wskazuje na przyjętą przez bank systemową praktykę nieinformowania osób, których dane zostały naruszone, co zasługuje na wyjątkowo negatywną ocenę.
Jakie obowiązki wynikają z RODO?
Pamiętać należy, iż w przypadku, gdy ujawnienie danych może powodować wysokie ryzyko naruszenia praw i wolności osób których dane dotyczą, na administratorze ciąży obowiązek poinformowania takich osób jasnym i prostym językiem o:
- charakterze i rodzaju naruszenia ochrony danych osobowych,
- imieniu, nazwisku oraz danych kontaktowych inspektora ochrony danych lub danych innego punktu kontaktowego, od którego można uzyskać więcej informacji,
- możliwych konsekwencjach naruszenia dla osób, których dane zostały ujawnione,
- zastosowanych lub proponowanych przez administratora środkach zaradczych, w tym w stosownych przypadkach środkach w celu zminimalizowania jego ewentualnych negatywnych skutków.
mBank takich działań, wbrew wyraźnym instrukcjom Prezesa UODO, jednak nie podjął.