Prezes UODO nakłada karę za błąd podmiotu przekazującego przesyłkę

Prezes Urzędu Ochrony Danych Osobowych opublikował decyzje, w której stwierdził kilka istotnych kwestii.

Ja się skupię na jednej z nich tj. na tym czy to nadawca przesyłki odpowiada za to jak ją nadał/przekazał kolejny nadawca.

Pominę dyskusję odnoszącą się do tego czy w tym przypadku Prezes UODO jest organem nadzorczym czy też “rację” ma Sąd Okręgowy w Krakowie, że takim organem jest Prezes Sądu Apelacyjnego w Krakowie.

Sąd Okręgowy w Krakowie był zobowiązany procedurą cywilną do doręczenia drugiej strony pozwu rozwodowego wraz z dokumentacją odnoszącą się do dziecka.

Osoba, do której kierowana była korespondencja zamieszkuje na terenie Wielkie Brytanii.

W związku z powyższym Sąd Okręgowy w Krakowie zwrócił się do Konsulatu RP w Wielkiej Brytanii o udzielenie pomocy prawnej o doręczenie pisma adresatowi przebywającemu za granicą i  zwrócenie urzędowo poświadczonego potwierdzenia odbioru.

Taką możliwość przewiduje § 37 obowiązującego Rozporządzenia Ministra Sprawiedliwości z dnia 28 stycznia 2002 r. w sprawie szczegółowych czynności sądów w sprawach z zakresu międzynarodowego postępowania cywilnego oraz karnego w stosunkach międzynarodowych (Dz.U. z 2014r. poz. 1657).

Czyli Sąd zapakował dokumenty w kopertę, którą zaadresował do Konsula RP – ten otrzymawszy przesyłkę musiał ją otworzyć, aby wiedzieć co “chce” Sąd. Jak już Konsul RP zapoznał się z treścią wniosku to zapakował pisma z Sądu do nowej koperty i za pośrednictwem Royal Mail nadał ją do wskazanego przez Sąd adresata.

Konsul RP nie pomylił się w adresie jaki wskazał na przesyłce, gdyż przesyłka ta doszła do adresata, ale w stanie naruszonym tj. “znacząco” rozerwaną kopertę.

I za takie działanie Konsula RP odpowiedzialność – według Prezesa UODO – ponosi Sąd Okręgowy w Warszawie.

Sąd dowiedział się o sytuacji, bo został zawiadomiony przez Ministra Spraw Zagranicznych, który za to został zawiadomiony o sytuacji przez Konsula RP.

Prezes UODO stwierdził naruszenie przez Sąd Okręgowy w Krakowie przepisów:

a) art. 33 ust. 1 i ust. 3 rozporządzenia 2016/679, polegające na niezgłoszeniu Prezesowi Urzędu Ochrony Danych Osobowych naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia,
b) art. 34 ust. 1 i ust. 2 rozporządzenia 2016/679, polegające na niezawiadomieniu o naruszeniu ochrony danych osobowych, bez zbędnej zwłoki, osób, których dane dotyczą,

2) nakłada na Sąd Okręgowy w Krakowie za naruszenie art. 33 ust. 1 i ust. 2 oraz art. 34 ust. 1 i ust. 2 rozporządzenia 2016/679 administracyjną karę pieniężną w wysokości 10.000 zł (słownie: dziesięciu tysięcy złotych i 00/100),

3) nakazuje Sądowi Okręgowemu w Krakowie zawiadomienie, w terminie 3 dni od dnia otrzymania niniejszej decyzji, (…) osób, których dane były zawarte na dokumentach znajdujących się w uszkodzonej przesyłce pocztowej (tj. powódki, pozwanego oraz dwójki ich dzieci), o naruszeniu ochrony ich danych osobowych w celu przekazania im informacji wymaganych zgodnie z art. 34 ust. 2 rozporządzenia 2016/679, tj.:
a) opisu charakteru naruszenia ochrony danych osobowych;
b) imienia i nazwiska oraz danych kontaktowych inspektora ochrony danych lub oznaczenia innego punktu kontaktowego, od którego można uzyskać więcej informacji;
c) opisu możliwych konsekwencji naruszenia ochrony danych osobowych z uwzględnieniem kategorii osób i zakresu danych objętych naruszeniem;
d) opisu środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu – w tym środków w celu zminimalizowania jego ewentualnych negatywnych skutków z uwzględnieniem kategorii osób i zakresu danych objętych naruszeniem,
4) w pozostałym zakresie umarza postępowanie

Nadto Prezes UODO wskazał, że:

przedmiotowe naruszenie ochrony danych osobowych powoduje powstanie wysokiego ryzyka naruszenia praw lub wolności osób fizycznych nie tylko z uwagi na to, że obejmuje ono numery PESEL ww. osób, ale także ich szczególne kategorie danych – informacje o stanie zdrowia powódki oraz informacje zawarte w opinii psychologicznej dwójki dzieci. Informacje te powiązane z m.in. imionami i nazwiskami oraz kontekstem sprawy rozwodowej mogą powodować utratę kontroli nad danymi i nie tylko zagrożenia związane z udostępnieniem numeru PESEL, ale również może powodować dyskryminację w środowisku tych osób, czy choćby naruszania ich dóbr osobistych;

z uwagi na to, że dokumenty zostały sporządzone w języku polskim a wysłane do Wielkiej Brytanii, to nie powoduje to powstania wysokiego ryzyka w tym zakresie. W ocenie Prezesa UODO, to że dokumenty zawierające dane osobowe były sporządzone w języku polskim i wysłane do kraju, gdzie językiem podstawowym jest język angielski, nie obniża jednak poziomu tego ryzyka. W dobie instrumentów pozwalających na szybkie tłumaczenie całych dokumentów, jak również z uwagi na fakt, iż w Wielkiej Brytanii spora część mieszkańców posługuje się językiem polskim, nie można przyjmować, że okoliczność ta pozwala na obniżenie poziomu ryzyka;

będąc tego świadomym, Administrator podjął jednak decyzję o rezygnacji z dokonania zgłoszenia naruszenia Prezesowi UODO i powiadomienia osób, których dane dotyczą, pomimo faktu, że Prezes UODO w pierwszej kolejności informował Administratora o obowiązkach ciążących na administratorze w związku z naruszeniem ochrony danych.

w końcu samo wszczęcie przez Prezesa UODO niniejszego postępowania w przedmiocie obowiązku zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu i zawiadomienia o naruszeniu osób, których dane dotyczą, powinno nasunąć Administratorowi co najmniej wątpliwości co do słuszności przyjętego przez niego stanowiska.

Końcowo zastanawia mnie jak Sąd Okręgowy w Krakowie wykona punkt trzeci decyzji – przecież innej drogi niż przez Konsula RP nie ma do zawiadomienia osób, których dane dotyczą o okolicznościach jakich żąda Prezes UODO.

Czy tym razem Royal Mail prawidłowo dokona doręczenia przesyłki?