Pod koniec maja pisaliśmy o wycieku danych osobowych z Urzędu Miejskiego w Łasku. Z odpowiedzi otrzymanej od burmistrz Moniki Mrowińskiej nie dowiedzieliśmy się niczego konkretnego. Pracownik jednak został zwolniony. Pytania o ewentualne zgłoszenie wypływu danych osobowych z UM wysłaliśmy także do prezesa Urzędu Ochrony Danych Osobowych. Oto odpowiedź:

Szanowna Pani Redaktor,

w odpowiedzi na Pani e-mail informuję, że w 2025 roku do Prezesa UODO nie wpłynęło zgłoszenie naruszenia ochrony danych osobowych z Urzędu Miasta w Łasku.

Pomocniczo wskazuję, że administrator danych, u którego doszło do naruszenia ochrony danych osobowych powinien przeanalizować takie zdarzenie pod kątem ewentualnego zgłoszenia naruszenia do Prezesa UODO i powiadomienia osób.

Nie każde naruszenie wymaga zgłoszenia do Prezesa UODO. Do organu nadzorczego trzeba zgłaszać naruszenia, gdy istnieje ryzyko szkodliwego (niekorzystnego) wpływu na osoby, których dane dotyczą. Chodzi tu np. o sytuacje, w których naruszenie może prowadzić do wspomnianej kradzieży tożsamości, straty finansowej czy też naruszenia tajemnic prawnie chronionych.

Jeżeli natomiast istnieje wysokie ryzyko, że wystąpią niekorzystne skutki naruszenia dla osób, których dane dotyczą, wówczas RODO wymaga, aby oprócz organu ds. ochrony danych, administrator o sytuacji poinformował również osoby, których te dane dotyczą. Takie sytuacje mogą mieć miejsce, gdy zakres ujawnionych danych obejmuje np. informacje widniejące w dowodach tożsamości, a więc nie tylko imię i nazwisko, ale nr PESEL, nr dokumentu.

Celem zgłaszania naruszeń Prezesowi UODO jest m.in. dokonanie przez organ nadzorczy oceny, czy administrator prawidłowo wypełnił obowiązek zawiadomienia o naruszeniu osób, których dane dotyczą, o ile faktycznie wystąpiła sytuacja, w której ma obowiązek to zrobić, czy podjął też odpowiednie działania w celu zminimalizowania ryzyka wystąpienia podobnego naruszenia w przyszłości. Dlatego też istotny jest czas zgłoszenia naruszenia ochrony danych osobowych do organu nadzorczego, na co administratorzy mają co do zasady 72 godziny od momentu, w którym dowiedzą się o istnieniu naruszenia.

W przypadku poważnych naruszeń bardzo ważny jest czas reakcji. Dlatego, gdyby okazało się np., że administrator powinien powiadomić nie tylko UODO, ale także osoby, których dotyczy dane zdarzenie, a tego nie zrobił, to wówczas można szybko wskazać mu taką konieczność. Bardzo ważne jest bowiem, by osoby, których dane zostały np. ujawnione czy skradzione albo w inny sposób naruszone, mogły po takim powiadomieniu jak najszybciej same podjąć działania, które zabezpieczą je przed kolejnymi zagrożeniami.

Takimi działaniami może być np. zastrzeżenie nr PESEL oraz zachowanie jeszcze większej ostrożności podczas podawania danych przez internet lub telefon, by np. osoby o nieuczciwych zamiarach nie uzyskały np. dodatkowych danych, które ułatwią im np. tzw. kradzież tożsamości.

Pozdrawiam

Karol Witowski

Rzecznik Prasowy UODO

Departament Komunikacji Społecznej

Skomentuj [ 2 ]

13:55, 20.06.2025 r.