Dostawca energii ujawnił rachunki bez zgody – skarga do UODO

Kiedy ujawnienie rachunków narusza RODO

Informacja o wysokości rachunków za energię, numerze klienta, zadłużeniu, historii płatności czy adresie punktu poboru energii może stanowić dane osobowe w rozumieniu art. 4 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), jeżeli pozwala zidentyfikować osobę fizyczną.

Dostawca energii jako administrator danych może przetwarzać i ujawniać takie dane tylko wtedy, gdy ma jedną z podstaw z art. 6 ust. 1 RODO. W relacji z osobą trzecią najczęściej wchodziłoby w grę ważne pełnomocnictwo, zgoda osoby, której dane dotyczą, albo szczególny obowiązek prawny. Jeżeli ojciec nie miał umocowania, a spółka mimo wcześniejszego zgłoszenia przekazała mu informacje o rachunkach, to bardzo możliwe, że doszło do bezprawnego udostępnienia danych.

Administrator musi również przestrzegać zasad z art. 5 ust. 1 lit. a, f RODO, czyli zgodności z prawem, rzetelności i przejrzystości oraz integralności i poufności danych. Ujawnienie danych niewłaściwej osobie zwykle oznacza naruszenie właśnie tych zasad.

Jeżeli problem wynikał z powoływania się przez osobę trzecią na rzekome upoważnienie, kluczowe jest ustalenie, czy spółka rzeczywiście zweryfikowała dokument. W praktyce przy braku ważnego pełnomocnictwa znaczenie ma także to, kiedy wolno udostępnić cudze dane.

Jakie działania podjąć najpierw wobec dostawcy energii

Przed albo równolegle do skargi do UODO warto wysłać do dostawcy energii pisemne żądanie wyjaśnienia incydentu. Najlepiej zrobić to listem poleconym, przez ePUAP, konto klienta lub e-mail na adres inspektora ochrony danych, jeśli spółka go publikuje.

W piśmie warto zażądać:

• wskazania, jakie dokładnie dane zostały ujawnione i komu,
• podania daty ujawnienia oraz kanału komunikacji,
• wskazania podstawy prawnej ujawnienia danych z art. 6 ust. 1 RODO,
• informacji, czy spółka dysponowała pełnomocnictwem i jak je zweryfikowała,
• potwierdzenia zablokowania dalszego udostępniania danych tej osobie,
• kopii odpowiedzi udzielonej osobie trzeciej, w zakresie który nie narusza cudzych praw,
• informacji, czy incydent został odnotowany jako naruszenie ochrony danych osobowych.

Takie żądanie można oprzeć także na art. 15 ust. 1 RODO, jeżeli domaga się Pan dostępu do informacji o przetwarzaniu swoich danych, oraz na art. 12 ust. 3 RODO, zgodnie z którym administrator co do zasady powinien udzielić informacji bez zbędnej zwłoki, nie później niż w terminie miesiąca od otrzymania żądania. W sprawach bardziej skomplikowanych termin może zostać przedłużony maksymalnie o kolejne dwa miesiące, ale administrator musi o tym poinformować wraz z uzasadnieniem.

Skarga do Prezesa UODO – gdzie i na jakiej podstawie

Prawo do wniesienia skargi do organu nadzorczego wynika z art. 77 ust. 1 RODO. W Polsce organem właściwym jest Prezes Urzędu Ochrony Danych Osobowych, co potwierdza art. 34 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych.

Skargę można złożyć, gdy uważa Pan, że przetwarzanie danych osobowych narusza RODO. W opisanej sytuacji chodzi przede wszystkim o bezprawne udostępnienie danych osobie trzeciej oraz niewłaściwe zabezpieczenie procesu weryfikacji pełnomocnictwa.

Skarga do UODO powinna zawierać:

• dane skarżącego,
• wskazanie administratora danych, czyli konkretnej spółki energetycznej,
• opis zdarzenia: kto, kiedy i jakie dane ujawnił,
• informację, że wcześniej zakwestionował Pan istnienie pełnomocnictwa,
• żądanie zbadania zgodności działań administratora z RODO,
• załączniki: korespondencję, notatki z rozmów, potwierdzenia zgłoszeń, odpowiedzi spółki.

Warto wprost wskazać, że mogło dojść do naruszenia art. 5 ust. 1 lit. a i f RODO oraz art. 6 ust. 1 RODO, a w zależności od okoliczności także art. 24 ust. 1 RODO, który nakłada na administratora obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających zgodność z rozporządzeniem, oraz art. 32 ust. 1 RODO, dotyczącego bezpieczeństwa przetwarzania.

Jeżeli chce Pan opisać sprawę szerzej, można odnieść się także do praktyki dotyczącej tego, jak wygląda zgłoszenie naruszenia ochrony danych i jakie informacje administrator powinien zebrać po incydencie.

Czy dostawca energii miał obowiązek zawiadomić o naruszeniu

To zależy od skali i skutków incydentu. Jeżeli doszło do naruszenia ochrony danych osobowych, administrator powinien ocenić ryzyko naruszenia praw lub wolności osoby fizycznej. Zgodnie z art. 33 ust. 1 RODO administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, aby skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych.

Z kolei art. 34 ust. 1 RODO przewiduje obowiązek zawiadomienia osoby, której dane dotyczą, jeżeli naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności. Nie każde błędne ujawnienie danych będzie wymagało takiego zawiadomienia, ale administrator powinien umieć wykazać, że dokonał oceny ryzyka. Taki obowiązek rozliczalności wynika z art. 5 ust. 2 RODO.

W praktyce może Pan zapytać spółkę, czy incydent został odnotowany w wewnętrznym rejestrze naruszeń i czy oceniono potrzebę zgłoszenia do UODO. Brak takiej analizy może dodatkowo przemawiać na niekorzyść administratora.

Czy można domagać się odszkodowania lub zadośćuczynienia

Tak, ale zależy to od skutków naruszenia i materiału dowodowego. Art. 82 ust. 1 RODO stanowi, że każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę.

Niezależnie od RODO można rozważyć ochronę dóbr osobistych. Art. 23 ustawy z 23 kwietnia 1964 r. – Kodeks cywilny wymienia dobra osobiste człowieka, a art. 24 § 1 Kodeksu cywilnego pozwala żądać zaniechania naruszeń, usunięcia ich skutków, złożenia oświadczenia odpowiedniej treści, a przy spełnieniu dalszych przesłanek także zadośćuczynienia pieniężnego lub zapłaty odpowiedniej sumy na cel społeczny. Jeżeli powstała szkoda majątkowa, możliwe jest także dochodzenie odszkodowania na zasadach ogólnych, w szczególności na podstawie art. 415 Kodeksu cywilnego.

W tego typu sprawach wysokość roszczenia nie wynika automatycznie z samego faktu naruszenia. Trzeba wykazać skutki, np. stres, konflikt rodzinny, naruszenie prywatności, wykorzystanie danych do dalszych działań albo realne straty finansowe.

Czy warto składać skargę także do URE lub reklamować usługę

Prezes Urzędu Regulacji Energetyki działa na podstawie art. 21 ustawy z 10 kwietnia 1997 r. – Prawo energetyczne, ale zasadniczo nie jest organem właściwym do rozstrzygania spraw o naruszenie RODO. Dlatego wątek ochrony danych powinien trafić przede wszystkim do Prezesa UODO.

Nie wyklucza to złożenia reklamacji lub skargi wewnętrznej do samej spółki energetycznej, zarządu, działu reklamacji albo inspektora ochrony danych. Taka droga bywa praktycznie przydatna, bo może doprowadzić do szybkiego zablokowania dalszych ujawnień i zebrania dowodów przed postępowaniem przed UODO.

Jakie dowody zebrać przed złożeniem skargi

Im lepiej udokumentuje Pan sprawę, tym łatwiej będzie wykazać nieprawidłowości. Warto zgromadzić:

• numery zgłoszeń i daty rozmów telefonicznych,
• imię i nazwisko konsultanta lub dział, jeśli zostały podane,
• potwierdzenia e-mailowe, SMS-y i pisma od spółki,
• własną notatkę z przebiegu rozmów, sporządzoną od razu po kontakcie,
• dokument potwierdzający, że nie udzielał Pan pełnomocnictwa, jeśli to możliwe w danym stanie faktycznym,
• dowody, że mimo zgłoszonego sprzeciwu dane nadal ujawniono.

Jeżeli ojciec później powołuje się na konkretne kwoty, terminy płatności albo inne informacje znane wyłącznie dostawcy, warto to również opisać w skardze. Organ bada całokształt okoliczności, a nie tylko pojedynczy dokument.

Praktyczna kolejność działań

FAQ

Czy skargę do UODO trzeba złożyć w określonym terminie?

RODO nie wprowadza krótkiego, sztywnego terminu zawitego na wniesienie skargi, ale najlepiej zrobić to niezwłocznie po zebraniu podstawowych dowodów. Im szybciej złoży Pan skargę, tym łatwiej ustalić przebieg zdarzenia.

Czy sam fakt, że ojciec mieszka w domu, daje mu prawo do informacji o rachunkach?

Nie. Samo zamieszkiwanie pod tym samym adresem nie stanowi podstawy do ujawnienia danych klienta. Potrzebna jest podstawa z art. 6 ust. 1 RODO, np. ważne pełnomocnictwo lub inny przepis prawa.

Czy dostawca musi pokazać mi pełnomocnictwo, na które powołała się osoba trzecia?

Może odmówić przekazania pełnej kopii, jeżeli naruszałoby to prawa innej osoby, ale powinien wyjaśnić, czy pełnomocnictwo posiadał, z jakiej daty ono pochodziło i jaki był zakres umocowania. To istotne dla oceny legalności ujawnienia danych.

Czy mogę żądać przeprosin od spółki energetycznej?

Tak, jeżeli naruszenie wkroczyło w sferę dóbr osobistych. Podstawą jest art. 24 § 1 Kodeksu cywilnego. Zakres roszczeń zależy jednak od okoliczności i skutków naruszenia.

Czy UODO przyzna mi odszkodowanie?

Nie. Prezes UODO prowadzi postępowanie administracyjne i może ocenić zgodność działań administratora z RODO, ale odszkodowania lub zadośćuczynienia dochodzi się co do zasady na drodze cywilnej, zwłaszcza na podstawie art. 82 ust. 1 RODO.

Źródła

• art. 4 pkt 1, art. 5 ust. 1 lit. a i f, art. 5 ust. 2, art. 6 ust. 1, art. 12 ust. 3, art. 15 ust. 1, art. 24 ust. 1, art. 32 ust. 1, art. 33 ust. 1, art. 34 ust. 1, art. 77 ust. 1, art. 82 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO).
• art. 34 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych.
• art. 21 ustawy z 10 kwietnia 1997 r. – Prawo energetyczne.
• art. 23, art. 24 § 1, art. 415 ustawy z 23 kwietnia 1964 r. – Kodeks cywilny.