40 tys. zł za masowe ujawnienie danych osobowych

Stan faktyczny

Do incydentu doszło 11.2.2021 r. w Biurze Rzecznika Finansowego. Pismo dotyczące sprawy prowadzonej na rzecz powoda, przeznaczone dla prezesa określonej spółki, zostało przesłane za pośrednictwem ePUAP do 28 366 instytucji i podmiotów publicznych. Dokument zawierał imię i nazwisko powoda, jego adres korespondencyjny, numer i nazwę polisy, sygnaturę sprawy prowadzonej przez Rzecznika Finansowego oraz nazwy podmiotów rynku finansowego związanych ze sprawą. Nie ujawniono numeru telefonu ani adresu e-mail.

Po stwierdzeniu naruszenia Rzecznik Finansowy zwrócił się do adresatów o usunięcie albo anonimizację danych oraz podjął działania zmierzające do ustalenia przyczyn zdarzenia. Poinformował również powoda o incydencie. W skierowanym do niego piśmie wskazano jako możliwe następstwa m.in. stres związany z utratą kontroli nad danymi, otrzymywanie niezamówionej korespondencji oraz ryzyko podszywania się pod niego w celu pozyskania dodatkowych informacji.

Po zdarzeniu powód zaczął otrzymywać liczne przesyłki od instytucji i podmiotów publicznych, które uzyskały jego dane, a także wiadomości od nieznanych osób za pośrednictwem komunikatora. Z ustaleń sądu wynikało, iż korespondencji było na tyle dużo, iż nie mieściła się w skrzynce pocztowej. Powód odczuwał stres i dyskomfort oraz obawiał się sposobu dalszego wykorzystania informacji o nim. Jego reakcję i pogorszenie samopoczucia potwierdziła również przesłuchana w sprawie znajoma. Jednocześnie sąd ustalił, iż w następstwie incydentu powód nie poniósł szkody materialnej.

Decyzją z 30.9.2022 r. Prezes Urzędu Ochrony Danych Osobowych udzielił Rzecznikowi Finansowemu upomnienia za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO), polegające na udostępnieniu danych osobowych podmiotom trzecim bez podstawy prawnej. Decyzja ta stała się ostateczna i prawomocna. Po incydencie w Biurze Rzecznika Finansowego wprowadzono również procedury służące zapobieganiu podobnym zdarzeniom.

Powód wystąpił następnie z pozwem, domagając się 50 tys. zł. Rzecznik Finansowy wnosił o oddalenie powództwa. Podnosił m.in., iż wysyłka nastąpiła w związku z wadliwym działaniem systemów informatycznych, pracownik obsługujący system był przeszkolony, a dane trafiły do podmiotów publicznych lub wykonujących zadania publiczne. Wskazywał także, iż nie doszło do szkody materialnej, a część danych powoda, w tym imię, nazwisko i adres korespondencyjny, była wcześniej dostępna publicznie w związku z prowadzoną przez niego działalnością.

Stan prawny

Podstawowe znaczenie dla rozstrzygnięcia miał art. 82 RODO. Przepis ten przyznaje osobie, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, prawo do uzyskania od administratora lub podmiotu przetwarzającego odszkodowania za poniesioną szkodę. Z kolei art. 82 ust. 3 RODO pozwala zwolnić administratora lub procesora z odpowiedzialności, o ile wykaże on, iż w żaden sposób nie ponosi winy za zdarzenie, które doprowadziło do powstania szkody.

Sąd wskazał, iż odpowiedzialność na tej podstawie wymaga wystąpienia szkody majątkowej albo niemajątkowej, naruszenia przepisów RODO oraz związku przyczynowego między naruszeniem a szkodą. W uzasadnieniu odwołano się również do mechanizmu egzoneracyjnego z art. 82 ust. 3 RODO.

Przy ocenie szkody sąd powołał się na szerokie rozumienie tego pojęcia, wynikające także z motywu 146 RODO. Uszczerbek nie musi więc polegać na stracie finansowej. Może dotyczyć również interesów niemajątkowych, w tym sfery prywatności i innych wartości związanych z przetwarzaniem danych osobowych.

Sąd zaznaczył jednocześnie, iż dane osobowe nie są tożsame z dobrami osobistymi. Naruszenie przepisów o ochronie danych może jednak, zależnie od okoliczności, prowadzić również do naruszenia takich dóbr jak prywatność czy dobre imię i uzasadniać ochronę na podstawie przepisów Kodeksu cywilnego. Roszczenie wynikające z art. 82 RODO stanowi jednak odrębną podstawę odpowiedzialności.

Argumentacja sądu

Sąd uznał, iż w sprawie bezspornie doszło do udostępnienia danych powoda odbiorcom nieuprawnionym do ich przetwarzania. Odpowiedzialność za zdarzenie przypisał Rzecznikowi Finansowemu jako administratorowi danych.

Z ustaleń postępowania wynikało, iż naruszenie było związane z pomyłką pracownika. Nie przesądzało to jednak samo w sobie o możliwości zwolnienia administratora z odpowiedzialności. Sąd zwrócił uwagę na sposób zabezpieczenia wykorzystywanych narzędzi informatycznych. W szczególności wskazał, iż przed incydentem istniała możliwość ograniczenia funkcji seryjnej wysyłki korespondencji w systemie Elektronicznego Zarządzania Dokumentacją, ale rozwiązania takiego nie zastosowano. W ocenie sądu administrator nie podjął więc wszystkich możliwych w danych okolicznościach działań zabezpieczających.

Argumentacja odwołująca się do awarii lub wadliwego działania systemów nie doprowadziła do zwolnienia Rzecznika Finansowego z odpowiedzialności. Sąd stwierdził, iż pozwany nie wykazał przesłanki egzoneracyjnej pozwalającej przyjąć, iż nie ponosi winy za zdarzenie prowadzące do powstania szkody.

Znaczenie miała również skala naruszenia. Dane zostały przekazane 28 366 nieuprawnionym odbiorcom. Choć na wysłane pismo zareagowało około 100 podmiotów, sąd ocenił skalę ujawnienia jako bardzo dużą. Nie podzielił także argumentu, iż ryzyko było mniejsze dlatego, iż odbiorcami były instytucje lub podmioty publiczne. Sam ich status nie dawał, zdaniem sądu, gwarancji, iż dalsze przetwarzanie danych będzie bezpieczne.

Dla odpowiedzialności z art. 82 RODO zasadnicze znaczenie miała następnie ocena, czy powód rzeczywiście poniósł szkodę niemajątkową. Sąd uznał tę przesłankę za wykazaną. Wskazał na stres i dyskomfort powoda, jego obawy dotyczące dalszego obiegu danych oraz utrzymującą się niepewność co do tego, kto pozostaje w ich posiadaniu. Okoliczności te znajdowały potwierdzenie w zeznaniach powoda i świadka, a także w fakcie otrzymywania licznych przesyłek i wiadomości po incydencie.

Nie miało przy tym rozstrzygającego znaczenia, iż powód nie doznał szkody finansowej. Sąd oparł odpowiedzialność na wykazanej szkodzie niemajątkowej. Jednocześnie nie uwzględnił żądania w pełnej wysokości. Kwotę 50 tys. zł uznał za wygórowaną, natomiast 40 tys. zł ocenił jako odpowiednią do okoliczności sprawy, przede wszystkim ze względu na liczbę podmiotów, którym udostępniono dane.

Komentarz