W tej sprawie WSA w Warszawie zdecydował o uchyleniu decyzji Prezesa UODO z października 2023 r.  Decyzja ta dotyczyła nałożenia administracyjnej kary pieniężnej na jedno z Towarzystw Ubezpieczeniowych za niezgłoszenie organowi nadzorczemu naruszenia ochrony danych osobowych. Prezes UODO nałożył na to towarzystwo karę ponad 103 000 zł w następującym stanie faktycznym: do Prezesa UODO zwróciła się osoba, która otrzymała w wiadomości e-mail nie swoje dokumenty; przesłana wiadomość wraz z załącznikiem zawierała takie dane – osoby trzeciej – jak imię, nazwisko, adres korespondencyjny, informacje o zaistniałej szkodzie, model samochodu, numer rejestracyjny samochodu; Osoba trzecia zawiadomiła o sytuacji Towarzystwo Ubezpieczeniowe, Podmiot ten jako administrator danych przeprowadził analizę ryzyka i podjął decyzję, że przedmiotowe naruszenie nie prowadzi do ryzyka większego niż niskie co do prawdopodobieństwa naruszenia praw i wolności osób fizycznych Efektem takiej analizy naruszenia było odnotowanie naruszenia w odpowiednim rejestrze i brak zgłoszenia naruszenia Prezesowi UODO. Prezes UODO stwierdził naruszenie art. 33 ust. 1 RODO wskazując, że: poddając ocenie stanowisko Spółki, należy najpierw zaznaczyć, że pomiędzy sytuacjami, w których istnieje małe prawdopodobieństwo by naruszenie ochrony danych osobowych skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (co zwykle uzasadnia brak obowiązku informacyjnego z art. 33 ust. 1 rozporządzenia 2016/679) a sytuacjami, gdy istnieje wysokie ryzyko naruszenia praw lub wolności osób fizycznych (gdy – poza obowiązkiem z art. 33 ust. 1 rozporządzenia 2016/679 – najczęściej pojawia się dodatkowy obowiązek z art. 34 ust. 1 tego rozporządzenia), pozostają przypadki “pośrednie”, których istnienia nie sposób pominąć, bowiem art. 33 ust. 1 rozporządzenia 2016/679 nie zawiera listy przypadków, w których dokonanie zgłoszenia naruszenia ochrony danych osobowych organowi nadzorczemu jest obowiązkiem administratorów; ujawnienie spornych danych nieuprawnionemu odbiorcy wiąże się w przypadku Spółki z naruszeniem dodatkowych obowiązków nakładanych na nią ww. ustawą, tj. z niedochowaniem tajemnicy dotyczącej umowy ubezpieczenia; ze względu na zakres ujawnionych danych osobowych w analizowanym przypadku wystąpiła możliwość zmaterializowania […]