Prezes UODO opublikował uzasadnienie decyzji administracyjnej, w której stwierdził naruszenie przepisów RODO związanych z brakiem zgłoszenia naruszenia ochrony danych osobowych.  Organ nadzorczy otrzymał informację od osoby, która otrzymała nie swoje dane osobowe w wiadomości e-mail. Osoba ta wskazała, że udostępniono jej – jako osobie nieuprawnionej – potwierdzenia przyznania odszkodowania z dnia 19 maja 2021 r., które ujawniało dane osobowe w postaci: imienia, nazwiska, adresu do korespondencji osoby wskazanej w tym zawiadomieniu, zwanej dalej: „Podmiotem Danych”, przez Link4 Towarzystwo Ubezpieczeń S.A. z siedzibą w Warszawie (ul. Postępu 15, 02-676 Warszawa), zwaną dalej „Administratorem” lub „Spółką”. Osoba ta skontaktowała się z tym administratorem i poinformowała o zaistniałej sytuacji, ale nie otrzymała żadnej informacji zwrotnej. Prezes UODO zwrócił się do tego administratora danych o wyjaśnienie, czy wiedział o zaistnieniu ww. zdarzenia, a także czy w związku z ww. sytuacją dokonana została analiza zdarzenia pod kątem ryzyka naruszenia praw lub wolności osób fizycznych niezbędna do oceny, czy doszło do naruszenia ochrony danych skutkującego koniecznością zawiadomienia Prezesa UODO oraz osób, których dotyczy naruszenie. Administrator wskazał, że: wiedział on o zaistnieniu przedmiotowego zdarzenia i odnotował je w odpowiednim rejestrze. Wyjaśnił również, że: „W wyniku błędu ludzkiego, w toku prowadzonego procesu likwidacji szkody, dokument potwierdzenia przyznania odszkodowania Klientowi LINK4 został omyłkowo załączony do korespondencji. W wyniku wyżej wskazanej pomyłki, dokument trafił do Klienta (Poszkodowanego) oraz do likwidatora szkody. Błąd został niezwłocznie skorygowany i przesłano właściwy dokument”. Nadto, Spółka wskazała, że przeprowadziła analizę ryzyka wiążącego się z zaistniałym zdarzeniem, a także że: „Wykonując podobne analizy Spółka opiera się na rekomendowanej na stronie internetowej Urzędu Ochrony Danych Osobowych metodologii ENISA, badając w szczególności zakres i kontekst przetwarzania danych, łatwość identyfikacji osoby, której dane dotyczą oraz okoliczności naruszenia, mające dodatkowy wpływ na powagę (dotkliwość) naruszenia. Pod uwagę był brany również fakt, że osoba która otrzymała nieadresowaną do siebie korespondencję poinformowała o tym fakcie administratora. Przy wykonaniu analizy, Spółka posiłkowo posługiwała się udostępnionym na stronie (…) darmowym […]