W tej decyzji organ nadzorczy uznał, że przypadkowe przesłanie “potwierdzenia realizacji zwrotnego przelewu należności uregulowanej za określone badanie, który opatrzony był danymi osobowymi pacjentki Administratora i jej męża, omyłkowo został przesłany do niewłaściwej, nieuprawnionej osoby (również pacjentki ww. podmiotu medycznego, o tożsamym imieniu)” należy zaklasyfikować jako naruszenie ochrony danych osobowych skutkujące nie tylko obowiązkiem jego notyfikacji, ale także zawiadomienia osoby, której dane ujawniono ze względu na występowanie wysokiego ryzyka naruszenia prawa lub wolności osób fizycznych.  Przedmiotowe postępowanie zaczęło się dość nietypowo, bo od przekazania do wiadomości Prezesa UODO pisma profesjonalnego pełnomocnika kierowanego do Administratora danych wzywającego go do “zadośćuczynienia, cyt.: „za doznaną szkodę niemajątkową spowodowaną naruszeniem rozporządzenia o ochronie danych osobowych (RODO) oraz naruszeniem dobra osobistego mojej Mocodawczyni w postaci prawa do prywatności”.  Prezes UODO zwrócił się do Administratora z żądaniem wskazania, czy przedmiotowe zdarzenie miało miejsce, a jeśli tak to czy przeprowadzono analizę ryzyka naruszenia ochrony danych osobowych. W odpowiedzi Administrator wskazał, że “przyczyną wystąpienia przedmiotowego naruszenia było omyłkowe przesłanie przez pracownika Administratora, za pośrednictwem wiadomości MMS, potwierdzenia przelewu stanowiącego zwrot środków z tytułu udzielonej zniżki za badania (…) do innego, niewłaściwego adresata (innej pacjentki) cyt.: „o tym samym imieniu, aniżeli widniejący w treści potwierdzenia przelewu” oraz “dokument w postaci potwierdzenia przelewu opatrzony był danymi pacjentki Administratora oraz jej męża w zakresie imienia i nazwiska, numeru rachunku bankowego, adresu zamieszkania, tytułu oraz kwoty przelewu”. Z powyższego wynika, że organ nadzorczy uznał informacje zawarte w tytule przelewu za informacje “oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia”, o których mowa w art. 4 pkt 14 oraz art. 9 ust. 1 RODO. Organ wskazał także, że: przedmiotowy incydent stanowi naruszenie poufności danych, które wiąże się z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych, gdyż zawarte w potwierdzeniu przelewu informacje pozwalają na wyciągnięcie określonych wniosków (niezależnie […]