Za błąd klienta odpowiedzieć może administrator

Olbrzymie kontrowersje wzbudziła niedawno opublikowana decyzja prezesa Urzędu Ochrony Danych Osobowych, który nałożył karę w wysokości 85,5 tys. zł za brak zgłoszenia naruszenia ochrony danych osobowych na Towarzystwo Ubezpieczeń i Reasekuracji Warta SA (decyzja z 9 grudnia 2020 r., nr DKN.5131.5.2020). To pokłosie postępowania przeprowadzonego w związku ze skargą, która wpłynęła w maju 2020 r. Skarżącym był nieuprawniony adresat, do którego trafiła korespondencja od agenta ubezpieczeniowego skierowana do klientów w sprawie umowy ubezpieczenia OC, zawierająca imiona, nazwiska, adresy zamieszkania, numery PESEL oraz informacje dotyczące ubezpieczanego auta.

Szef UODO, po wezwaniu spółki do wyjaśnień, dowiedział się, że wie ona o naruszeniu. Warta stała jednak na stanowisku, że dokonała oceny pod kątem ryzyka naruszenia praw i wolności osób fizycznych i na podstawie tej analizy doszła do wniosku, iż zaistniałe naruszenie nie wymagało zawiadomienia UODO. Spółka wskazała, że naruszenie powstało na skutek wysłania dokumentu polisy ubezpieczeniowej na błędny adres poczty elektronicznej, który wskazali sami klienci. Dopiero po wszczęciu postępowania administracyjnego przez UODO spółka zdecydowała się zgłosić naruszenie oraz zawiadomić dwie osoby, których dotyczył incydent.