Tak wynika z decyzji Prezesa UODO wydanej 9.12.2020, sygn. DKN.5131.5.2020, w której nałożył karę
pieniężną w wysokości 85.588 złotych na towarzystwo ubezpieczeniowe.
Wyciek danych
W postępowaniu zakończonym omawianą decyzją wyciek danych polegał na przesłaniu przez agenta
ubezpieczeniowego polisy za pośrednictwem e-mail do niewłaściwego adresata. Polisa dotyczyła ubezpieczenia
samochodu i znajdowały się na niej dane dwóch osób, takie jak: imiona, nazwiska, adresy zamieszkania, adresy
korespondencyjne, numery PESEL, numery telefonów, adresy poczty elektronicznej, a także szczegóły dotyczące
ubezpieczenia (przedmiot, zakres, płatności, cesja, dodatkowe zapisy w umowie). Dokument nie został w żaden
sposób zaszyfrowany.
Towarzystwo ubezpieczeniowe wiedziało o tym, że niewłaściwa osoba otrzymała polisę ubezpieczeniową, ponieważ
poinformował je o tym adresat e-maila od agenta ubezpieczeniowego. W związku z taką informacją, towarzystwo
zwróciło się do niego o trwałe usunięcie wiadomości z poczty elektronicznej wraz z załącznikami do niej oraz
przesłanie potwierdzenia dokonania tych czynności.
Towarzystwo nie poinformowało klientów, których dotyczyła polisa o tym, że ich dane zostały przekazane
nieuprawnionej osobie. Uznało, że tego rodzaju zdarzenie nie stanowi naruszenia ochrony danych osobowych, które
wymaga dokonania zgłoszenia Prezesowi UODO oraz poinformowania podmiotów danych o naruszeniu.
Przyczyny wszczęcia postępowania przez Prezesem UODO
Do Urzędu Ochrony Danych Osobowych wpłynęła informacja, o wystąpieniu opisanego wycieku danych, wobec
czego Prezes UODO w pierwszej kolejności wysłał do towarzystwa ubezpieczeniowego pismo z wezwaniem do
złożenia wyjaśnień w sprawie.
Wymiana korespondencji pomiędzy Prezesem UODO, a towarzystwem ubezpieczeniowym skończyła się formalnym
wszczęciem postępowania administracyjnego przez Prezesa UODO. Mimo uwag i wskazówek, jakie w pismach
kierowanych do towarzystwa ubezpieczeniowego przedstawiał Prezes UODO, towarzystwo stało na stanowisku, że
wyciek danych spowodowany był działaniem klienta, który wskazał agentowi nieprawidłowy adres poczty
elektronicznej do korespondencji, towarzystwo podjęło odpowiednie działania po otrzymaniu informacji o przesłaniu
polisy nieuprawnionej osobie, wobec czego nie doszło do naruszenia skutkującego obowiązkiem dokonania
zgłoszenia do Prezesa UODO.
Po formalnym wszczęciu postępowania przez Prezesa UODO, towarzystwo ubezpieczeniowe zgłosiło naruszenie
ochrony danych osobowych i jednocześnie poinformowało o zawiadomieniu o naruszeniu osób, których dotyczył
wyciek danych.
Naruszenie przepisów RODO
W ocenie Prezesa UODO: „fakt, iż do naruszenia doszło w wyniku błędu klienta, który przekazał agentowi
nieprawidłowy adres mailowy, nie może mieć wpływu na ocenę tego zdarzenia i zakwalifikowanie go jako naruszenia
ochrony danych osobowych. Jego skutkiem jest bowiem udostępnienie danych osobowych osobie nieuprawnionej, co
oznacza, iż doszło do naruszenia poufności danych.”
Co więcej, tego rodzaju naruszenie, zdaniem organu nadzorczego, powoduje wysokie ryzyko naruszenia praw
i wolności osób fizycznych, tj. wystąpienia takich szkód jak na przykład kradzież lub sfałszowanie tożsamości, czy też
straty finansowe.
Uzasadniając powyższe, Prezes UODO odniósł się do wytycznych Grupy Roboczej Art. 29 dotyczących zgłaszania
naruszeń ochrony danych osobowych zgodnie z rozporządzeniem 2016/679.
Za działanie niewystarczające Prezes UODO uznał prośbę do nieuprawnionego adresata korespondencji mailowej
o usunięcie tej korespondencji. W tym zakresie, jak wskazał organ nadzorczy, towarzystwo ubezpieczeniowe nie
miało możliwości zweryfikowania, czy żądane działania zostały faktycznie podjęte. Jednak w pierwszej kolejności,
prawidłową procedurą powinno być zweryfikowanie adresu e-mail wskazanego przez klienta oraz zaszyfrowanie
przesyłanego dokumentu.



Błędna ocena wagi naruszenia przez towarzystwo ubezpieczeniowe, skutkowało niewykonaniem w terminie
obowiązków związanych z zawiadomieniem organu nadzorczego o wystąpieniu naruszenia ochrony danych
osobowych oraz zawiadomieniem podmiotów danych.
Z powyższych względów, Prezes UODO uznał także, że towarzystwo ubezpieczeniowe nie posiada właściwych
środków organizacyjnych i technicznych mających na celu zminimalizowanie ryzyka naruszenia ochrony danych
osobowych.
Uzasadnienie nałożenia kary
Nałożenie kary w wysokości 85.588 złotych za wyciek danych dwóch osób fizycznych Prezes UODO uzasadnił:
• znacznym i poważnym charakterem naruszenia,
• długim czasem trwanie naruszenia (5 miesięcy),
• umyślnym charakterem naruszenia (świadoma decyzja towarzystwa ubezpieczeniowego o niedokonaniu zgłoszenia
naruszenia)
• niezadowalającą współpracą towarzystwa ubezpieczeniowego z organem nadzorczym,
• szerokim zakresem danych, których dotyczyło naruszenie.
Za okoliczności łagodzące Prezes UODO uznał:
• liczbę poszkodowanych osób (2),
• podjęte działania przez towarzystwo ubezpieczeniowe (prośba do niewłaściwego adresata korespondencji o jej
usunięcie).

Komentarz
Przy ocenie wagi naruszenia ochrony danych osobowych często pod uwagę bierze się, jakiej ilości rekordów
(wpisów/podmiotów danych) dotyczy dana sytuacja. W omawianej decyzji Prezes UODO zwraca uwagę, że nie ilość
osób a zakres danych powinien stanowić tu kluczowe kryterium.
Tworząc procedury dotyczące ochrony danych osobowych administrator przyjmuje na siebie odpowiedzialność
związaną z właściwą oceną przyjętych środków organizacyjnych, technicznych oraz sposobu postępowania,
w przypadku wystąpienia zdarzeń skutkujących możliwością dostępu do danych przez nieuprawnione osoby. Jak
wynika z decyzji wydawanych przez polski organ nadzorczy, do powyższych kwestie należy podchodzić z dużą
ostrożnością i rozwagą. Kolejny raz bowiem mamy do czynienia z sytuacją, w której kontrolowany, uniknąłby kary
gdyby dokonał zgłoszenia naruszenia, mimo, że w jego ocenia byłoby to działanie na wyrost. Jak nie raz wskazywał
już Prezes UODO, w przypadku jakichkolwiek wątpliwości, właściwym działaniem będzie zawsze dokonanie
zgłoszenia.

Decyzja Prezesa UODO z 9.12.2020 r., DKN.5131.5.2020,