Czy bank naruszył RODO, ujawniając dane członków zarządu stowarzyszenia

Kiedy ujawnienie danych jest naruszeniem ochrony danych osobowych

Punktem wyjścia jest definicja z art. 4 pkt 12 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO). Naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych.

W opisanej sytuacji problemem nie jest sam fakt, że członkowie zarządu działają w tej samej organizacji, ale to, czy każdy z nich powinien otrzymać pełny zakres danych pozostałych osób. Jeżeli nie było ku temu podstawy funkcjonalnej, mogło dojść do nieuprawnionego ujawnienia danych, a więc do naruszenia poufności.

Z perspektywy RODO nie ma znaczenia wyłącznie to, czy dane wyszły „na zewnątrz”. Naruszenie może wystąpić również wewnątrz organizacji lub pomiędzy dwoma administratorami, jeśli dostęp otrzymały osoby nieuprawnione albo uprawnione tylko do węższego zakresu informacji.

Czy członkowie zarządu byli osobami uprawnionymi do tych danych

To kluczowe pytanie praktyczne. Sam status członka zarządu nie daje automatycznie prawa do dostępu do wszystkich danych innych członków zarządu w każdym celu. Zakres dostępu powinien wynikać z rzeczywistej potrzeby działania, zasad reprezentacji, procedur organizacji i celu, dla którego dokument został przesłany.

Jeżeli dokument miał służyć tylko podpisaniu zmian bankowych albo potwierdzeniu reprezentacji stowarzyszenia, bank co do zasady powinien ograniczyć dane do minimum. Tak wynika z zasady minimalizacji z art. 5 ust. 1 lit. c RODO, zgodnie z którą dane muszą być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów przetwarzania.

Dlatego ujawnienie takich danych jak PESEL, nazwisko rodowe, numer klienta czy login do bankowości może być ocenione jako nadmiarowe, jeżeli do podpisu albo akceptacji dokumentu nie były one potrzebne wszystkim adresatom.

Znaczenie rodzaju ujawnionych danych

Nie każde naruszenie ma tę samą wagę. Przy ocenie incydentu trzeba uwzględnić rodzaj danych, ich zakres i możliwe skutki.

To, czy doszło do realnego ryzyka dla osoby, zależy więc od całego zestawu danych, a nie od jednego elementu analizowanego w oderwaniu od reszty.

Czy trzeba zgłosić sprawę do Prezesa UODO

Obowiązek zgłoszenia naruszenia wynika z art. 33 ust. 1 RODO. Administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych.

Jeżeli więc po rzetelnej ocenie uznacie, że:

• dane trafiły do zamkniętego i zidentyfikowanego kręgu osób,
• odbiorcy są związani obowiązkiem poufności albo działają w strukturze organizacji,
• nie doszło do dalszego rozpowszechnienia danych,
• brak jest realnych przesłanek nadużycia,

to możliwy jest wniosek, że ryzyko dla praw lub wolności osób jest niskie i zgłoszenie do Prezesa UODO nie jest konieczne.

Jeżeli jednak zakres danych był szeroki, obejmował PESEL oraz dane wykorzystywane do identyfikacji w relacjach bankowych, a dodatkowo istnieje konflikt w zarządzie, ryzyko praktyczne może rosnąć. Wtedy warto sporządzić staranną analizę i rozważyć zgłoszenie, zwłaszcza gdy nie można wykluczyć dalszego użycia danych niezgodnie z celem.

W razie zgłoszenia trzeba pamiętać o elementach z art. 33 ust. 3 RODO, czyli m.in. opisie charakteru naruszenia, kategorii i przybliżonej liczbie osób, możliwych konsekwencjach oraz środkach zastosowanych lub proponowanych w celu zaradzenia incydentowi.

Czy trzeba zawiadomić osoby, których dane dotyczą

To odrębna kwestia od zgłoszenia do Prezesa UODO. Zgodnie z art. 34 ust. 1 RODO, gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osoby fizycznej, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą.

W opisanym stanie faktycznym wysoki poziom ryzyka nie jest oczywisty. Zwykle przy jednorazowym ujawnieniu danych wąskiemu gronu członków zarządu będzie trudno mówić o „wysokim ryzyku”, ale taka ocena zależy od konkretnych okoliczności: relacji między osobami, zakresu danych, możliwości ich wykorzystania oraz tego, czy doszło do dalszego przesłania lub kopiowania dokumentów.

Jeżeli wszystkie osoby, których dane ujawniono, już wiedzą o incydencie z racji udziału w sprawie, praktycznie i tak warto odnotować sposób poinformowania ich lub przyczynę, dla której nie było potrzeby odrębnego zawiadamiania.

Jakie obowiązki ma stowarzyszenie, a jakie bank

Bank i stowarzyszenie najczęściej występują tu jako odrębni administratorzy danych, każdy w swoim zakresie celów i sposobów przetwarzania. Bank odpowiada za sposób przygotowania i wysłania dokumentów oraz za ocenę, czy ujawnił dane w zakresie zgodnym z RODO i z tajemnicą bankową.

Warto pamiętać, że zgodnie z art. 104 ust. 1 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe bank, osoby w nim zatrudnione oraz osoby, za których pośrednictwem bank wykonuje czynności bankowe, są obowiązane zachować tajemnicę bankową. Jeżeli więc w dokumentach znalazły się informacje dotyczące relacji bankowej konkretnych osób, bank powinien móc wykazać podstawę i niezbędność takiego ujawnienia.

Stowarzyszenie nie przejmuje odpowiedzialności za błąd banku tylko dlatego, że otrzymało dokumenty. Powinno jednak prawidłowo obsłużyć incydent po swojej stronie: zabezpieczyć dokumenty, ograniczyć dalszy obieg, ustalić krąg odbiorców i udokumentować ocenę.

Co zrobić praktycznie po takim incydencie

Najbezpieczniej przejść przez kilka kroków:

1. Zabezpieczyć dokumenty – ustalić, kto je otrzymał, czy były dalej przesyłane, drukowane lub kopiowane.
2. Opisać incydent – data, okoliczności, zakres danych, odbiorcy, źródło, przyczyna.
3. Ocenić ryzyko – odnieść się do rodzaju danych, liczby osób, relacji pomiędzy odbiorcami i możliwości nadużycia.
4. Wpisać zdarzenie do dokumentacji naruszeń – nawet jeśli nie będzie zgłoszenia do UODO.
5. Skontaktować się z bankiem – zażądać wyjaśnienia, wskazać nadmiarowy zakres danych i poprosić o zmianę praktyki lub wzorów dokumentów.
6. Wdrożyć środki zapobiegawcze – np. indywidualne przekazywanie dokumentów, anonimizację części danych, ograniczenie rozsyłania załączników.

Obowiązek dokumentowania wynika wprost z art. 33 ust. 5 RODO. Administrator musi dokumentować wszelkie naruszenia ochrony danych osobowych, ich okoliczności, skutki oraz podjęte działania zaradcze, tak aby organ nadzorczy mógł zweryfikować przestrzeganie przepisów.

Jak napisać do banku

W piśmie do banku warto wskazać konkretnie:

• datę i rodzaj otrzymanych dokumentów,
• jakie dane innych członków zarządu zostały ujawnione,
• że w ocenie stowarzyszenia zakres danych mógł naruszać zasadę minimalizacji z art. 5 ust. 1 lit. c RODO,
• prośbę o wyjaśnienie podstawy ujawnienia tak szerokiego zakresu danych,
• żądanie ograniczenia zakresu danych w przyszłej korespondencji i dokumentach.

Jeżeli bank potwierdzi błąd, taka odpowiedź będzie ważnym elementem dokumentacji incydentu.

Podsumowanie

W opisanej sytuacji można mówić o potencjalnym naruszeniu ochrony danych osobowych, ponieważ dane innych członków zarządu zostały ujawnione w szerszym zakresie, niż mogło to być konieczne. Nie każde takie naruszenie oznacza jednak obowiązek zgłoszenia do Prezesa UODO.

Decydujące znaczenie ma ocena ryzyka dokonana na podstawie art. 33 ust. 1 RODO. Jeżeli ryzyko dla praw lub wolności osób jest niskie, zgłoszenie może nie być wymagane, ale dokumentacja incydentu pozostaje obowiązkowa. W praktyce warto też wystąpić do banku o wyjaśnienia i zmianę sposobu przygotowywania dokumentów.

FAQ

Czy samo ujawnienie danych wśród członków zarządu wyklucza naruszenie RODO?

Nie. Jeżeli członkowie zarządu nie potrzebowali pełnego zakresu danych do wykonania konkretnej czynności, mogło dojść do naruszenia poufności danych w rozumieniu art. 4 pkt 12 RODO.

Czy login do bankowości bez hasła też ma znaczenie?

Tak. Sam login zwykle nie pozwala się zalogować, ale w połączeniu z innymi danymi może zwiększać ryzyko działań socjotechnicznych i dlatego powinien być uwzględniony przy ocenie incydentu.

Ile czasu jest na zgłoszenie naruszenia do Prezesa UODO?

Zgodnie z art. 33 ust. 1 RODO zgłoszenie należy złożyć bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, aby powodowało ono ryzyko naruszenia praw lub wolności osób fizycznych.

Czy trzeba prowadzić rejestr naruszeń, jeśli sprawa nie została zgłoszona?

Tak. Art. 33 ust. 5 RODO wymaga dokumentowania wszelkich naruszeń, także tych, które ostatecznie nie zostały zgłoszone organowi nadzorczemu.

Czy stowarzyszenie może żądać od banku wyjaśnień?

Tak. Warto zażądać wyjaśnienia podstawy ujawnienia tak szerokiego zakresu danych oraz wskazać konieczność stosowania zasady minimalizacji przy kolejnych dokumentach.

Źródła:

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), w szczególności art. 4, art. 5, art. 33 i art. 34.

2. Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych - Dz.U. 2018 poz. 1000.

3. Ustawa z dnia 29 sierpnia 1997 r. – Prawo bankowe, w szczególności art. 104 ust. 1.