Omyłkowe wysłanie faktury lub pisma do niewłaściwej osoby a RODO• Stan prawny na: 2026-06-02 |
|
Omyłkowe wysłanie faktury, e-maila albo listu do niewłaściwego adresata może być naruszeniem ochrony danych osobowych, jeżeli ujawniono dane osoby fizycznej osobie nieuprawnionej. Nie każde takie zdarzenie trzeba jednak zgłaszać do PUODO. Decyduje ocena ryzyka: rodzaj danych, liczba osób, odbiorca, możliwość szkody i działania ograniczające skutki. Poniżej wyjaśniamy, kiedy wystarczy dokumentacja i prośba o usunięcie dokumentu, a kiedy trzeba zgłosić naruszenie albo zawiadomić osoby, których dane dotyczą. |
Fot. Fotolia |
|
Najważniejsze:
Czym jest naruszenie ochrony danych osobowych przy błędnej wysyłce?Omyłkowe wysłanie dokumentu, wiadomości e-mail albo listu do niewłaściwego adresata może być naruszeniem ochrony danych osobowych. RODO definiuje naruszenie jako naruszenie bezpieczeństwa prowadzące m.in. do przypadkowego albo niezgodnego z prawem ujawnienia danych osobowych lub dostępu do danych przez osobę nieuprawnioną. W praktyce takim zdarzeniem może być wysłanie faktury nie temu klientowi, zamiana załączników, wpisanie błędnego adresu e-mail, wysłanie korespondencji pocztowej pod zły adres albo masowa wiadomość z widocznymi adresami odbiorców. Przy ocenie ryzyka warto porównać takie sytuacje także z problemem, jakim jest ujawnienie adresów w polu odbiorców, ponieważ mechanizm naruszenia jest podobny: dane trafiają do osób, które nie powinny ich otrzymać. Czy faktury i pisma służbowe zawierają dane osobowe?To zależy od treści dokumentu. Dane osoby prawnej, np. samej spółki z o.o., zasadniczo nie są danymi osobowymi tej spółki. Jeżeli jednak dokument zawiera imię i nazwisko pracownika, adres e-mail konkretnej osoby, numer telefonu, podpis, dane pełnomocnika albo informacje pozwalające zidentyfikować osobę fizyczną, RODO może mieć zastosowanie. Szczególną ostrożność trzeba zachować przy jednoosobowej działalności gospodarczej. Dane przedsiębiorcy z CEIDG mogą być danymi osobowymi, mimo że część z nich jest publicznie dostępna. Publiczny charakter danych może zmniejszać ryzyko szkody, ale nie oznacza automatycznie, że naruszenia nie było. Jeszcze inaczej należy ocenić pisma dotyczące ucznia, pracownika, pacjenta, najemcy czy klienta. Informacja o naganie, problemach wychowawczych, zdrowiu, zadłużeniu, sytuacji rodzinnej albo sporze prawnym może być znacznie bardziej dotkliwa niż samo ujawnienie danych identyfikacyjnych. Kiedy trzeba zgłosić naruszenie do PUODO?Administrator powinien w pierwszej kolejności ustalić, czy w ogóle doszło do naruszenia danych osobowych, a następnie ocenić ryzyko dla praw i wolności osób fizycznych. Zgłoszenie do Prezesa Urzędu Ochrony Danych Osobowych jest wymagane, jeżeli naruszenie może powodować takie ryzyko. Zgłoszenia dokonuje się bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Nie trzeba zgłaszać naruszenia, jeżeli jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Nie oznacza to jednak, że można pominąć sprawę. Art. 33 ust. 5 RODO wymaga dokumentowania naruszeń, w tym okoliczności, skutków i podjętych działań zaradczych. Taka dokumentacja ma pozwolić organowi nadzorczemu sprawdzić, czy administrator prawidłowo wykonał obowiązki. Przy ocenie ryzyka trzeba uwzględnić m.in. rodzaj danych, liczbę osób, zakres ujawnionych informacji, łatwość identyfikacji osoby, wiarygodność odbiorcy, możliwość skopiowania lub dalszego rozpowszechnienia dokumentu, działania podjęte po wykryciu błędu oraz możliwe szkody. Skutki może powodować również przypadkowe ujawnienie danych, nawet jeśli nie było żadnego zamiaru naruszenia przepisów. Masz problem prawny podobny do opisanego w artykule? Opisz swoją sprawę prawnikowi ›Wycena zwykle w ciągu 1 godziny • Zadanie pytania do niczego nie zobowiązuje Kiedy poinformować osobę, której dane dotyczą?RODO rozróżnia zgłoszenie naruszenia do organu nadzorczego i zawiadomienie osoby, której dane dotyczą. Zawiadomienie osoby jest wymagane wtedy, gdy naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności. Próg jest więc wyższy niż przy zgłoszeniu do PUODO. Wysokie ryzyko może wystąpić zwłaszcza wtedy, gdy ujawniono dane dzieci, dane dotyczące zdrowia, sytuacji finansowej, zadłużenia, konfliktów rodzinnych, odpowiedzialności dyscyplinarnej, danych logowania, numerów dokumentów, prywatnych adresów albo informacje, które mogą prowadzić do kradzieży tożsamości, oszustwa, dyskryminacji, stygmatyzacji lub poważnego naruszenia prywatności. Jeżeli zawiadomienie jest konieczne, powinno być napisane prostym językiem. Należy opisać charakter naruszenia, wskazać możliwe konsekwencje, podać dane kontaktowe inspektora ochrony danych lub innej osoby kontaktowej oraz wyjaśnić, jakie środki zastosowano i co osoba może zrobić, aby ograniczyć negatywne skutki.
Ważne:
Przy naruszeniach RODO nie wystarczy ogólne przekonanie, że sprawa jest drobna. Administrator powinien umieć wykazać, jakie dane ujawniono, komu, na jak długo, jakie skutki mogły powstać i dlaczego podjęto określone działania.
Co zrobić krok po kroku po omyłkowej wysyłce?Po wykryciu błędnej wysyłki liczy się szybka reakcja. Administrator powinien przede wszystkim ustalić, co dokładnie wysłano, komu, kiedy i w jaki sposób. Następnie trzeba zabezpieczyć dowody, np. kopię wiadomości, potwierdzenie nadania, treść załącznika, informację o adresacie i datę stwierdzenia naruszenia. Drugim krokiem jest ograniczenie skutków. W praktyce oznacza to kontakt z nieuprawnionym odbiorcą, wyjaśnienie pomyłki, prośbę o trwałe usunięcie wiadomości lub zniszczenie dokumentu, niewykorzystywanie informacji i potwierdzenie wykonania tych działań. W przypadku korespondencji papierowej można poprosić o zwrot zamkniętego lub otwartego pisma, a gdy to niemożliwe, o pisemne potwierdzenie jego zniszczenia. Trzecim krokiem jest ocena ryzyka i decyzja, czy zgłosić naruszenie do PUODO oraz czy zawiadomić osoby, których dane dotyczą. Decyzję należy odnotować w ewidencji naruszeń. Warto też wskazać działania zapobiegawcze, np. dodatkową weryfikację adresatów, zasadę podwójnego sprawdzania załączników, ograniczenie danych na fakturach, szyfrowanie plików albo automatyczne blokady wysyłki masowej. Czy pracownikowi grozi odpowiedzialność karna?W typowej sytuacji, w której pracownik omyłkowo zaadresował kopertę, wybrał błędny załącznik albo pomylił adres e-mail, nie należy automatycznie zakładać odpowiedzialności karnej. Błąd może jednak oznaczać naruszenie obowiązków pracowniczych albo procedur ochrony danych, a w poważniejszych sprawach wymaga indywidualnej oceny. Art. 107 ustawy o ochronie danych osobowych przewiduje odpowiedzialność za przetwarzanie danych osobowych, gdy ich przetwarzanie nie jest dopuszczalne albo gdy dokonuje go osoba nieuprawniona. W praktyce trzeba więc badać, czy pracownik działał w ramach upoważnienia, czy naruszył procedury umyślnie, jaki był zakres ujawnienia i jakie skutki powstały. Sama nieumyślna, incydentalna pomyłka przy prawidłowo powierzonych obowiązkach zwykle będzie oceniana inaczej niż celowe lub rażąco lekkomyślne udostępnienie danych. Odrębną kwestią jest odpowiedzialność administratora jako podmiotu zobowiązanego do wdrożenia odpowiednich środków organizacyjnych i technicznych. Jeżeli system pracy sprzyja pomyłkom, brakuje procedur albo pracownicy nie zostali przeszkoleni, problem może dotyczyć nie tylko jednej osoby, lecz całej organizacji. PrzykładyPoniższe przykłady pokazują, jak różnie można ocenić pozornie podobne omyłki w wysyłce dokumentów.
PRZYKŁAD 1
Pani Maria prowadzi biuro rachunkowe. Wysyłając miesięczne faktury, omyłkowo zamieniła załączniki między trzema klientami. Faktury dotyczyły przedsiębiorców prowadzących jednoosobową działalność gospodarczą i zawierały imię, nazwisko, adres działalności, NIP oraz kwoty należności. Po wykryciu pomyłki Pani Maria natychmiast poprosiła odbiorców o usunięcie plików, wysłała prawidłowe dokumenty, opisała zdarzenie w ewidencji naruszeń i oceniła ryzyko jako niskie, ponieważ dane były w większości jawne, a odbiorcami były osoby stale współpracujące z biurem. W takiej sytuacji zgłoszenie do PUODO może nie być konieczne, ale dokumentacja decyzji jest niezbędna.
PRZYKŁAD 2
Pracownik działu księgowości wysłał fakturę firmy A do przedstawiciela firmy B. Dokument zawierał nie tylko dane spółki, lecz także imię, nazwisko, indywidualny adres e-mail i numer telefonu pracownika kontrahenta oraz szczegóły zamówienia. Administrator uznał, że ujawnienie może powodować ryzyko naruszenia prywatności tej osoby, dlatego zgłosił naruszenie do PUODO w terminie 72 godzin, poprosił nieuprawnionego odbiorcę o trwałe usunięcie wiadomości i poinformował osobę, której dane dotyczyły, o zdarzeniu oraz zalecanych środkach ostrożności.
PRZYKŁAD 3
Szkoła wysłała list o nagannym zachowaniu ucznia na błędny adres. Koperta była zaadresowana na rodziców ucznia, ale trafiła do rodzica innego dziecka, który zapoznał się z pismem. Choć była to zwykła pomyłka adresowa, treść dotyczyła małoletniego i mogła prowadzić do stygmatyzacji lub naruszenia prywatności. W takim przypadku administrator powinien potraktować zdarzenie poważniej niż zwykłe ujawnienie danych kontaktowych: zabezpieczyć dowody, ocenić ryzyko, rozważyć zgłoszenie do PUODO i poinformować rodziców ucznia, którego dane ujawniono. FAQCzy każdą pomyłkę w wysyłce faktury trzeba zgłosić do PUODO?Nie. Zgłoszenie jest wymagane wtedy, gdy naruszenie może powodować ryzyko naruszenia praw lub wolności osoby fizycznej. Jeżeli po rzetelnej analizie administrator wykaże, że ryzyko jest mało prawdopodobne, może poprzestać na dokumentacji zdarzenia i działaniach naprawczych. Czy dane z CEIDG lub KRS są danymi osobowymi?Dane spółki z KRS co do zasady nie są danymi osobowymi samej spółki, ale mogą zawierać dane osób fizycznych, np. członków zarządu albo pełnomocników. Dane przedsiębiorcy wpisanego do CEIDG, takie jak imię, nazwisko, adres działalności i NIP, mogą być danymi osobowymi, choć ich publiczny charakter zwykle wpływa na niższą ocenę ryzyka. Czy trzeba informować osobę, która omyłkowo otrzymała cudzą fakturę?Tak, praktycznie należy zrobić to niezwłocznie. Trzeba wyjaśnić pomyłkę, poprosić o usunięcie wiadomości lub zniszczenie dokumentu, zakaz dalszego udostępniania oraz najlepiej o potwierdzenie wykonania tej prośby. Nie jest to jednak zawiadomienie z art. 34 RODO, bo ono dotyczy osoby, której dane ujawniono. Kiedy trzeba zawiadomić osobę, której dane ujawniono?Zawiadomienie osoby, której dane dotyczą, jest wymagane, gdy naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności. Tak może być zwłaszcza przy danych dzieci, danych o sytuacji rodzinnej, finansowej, zdrowotnej, dyscyplinarnej, danych logowania, numerach dokumentów lub informacjach mogących prowadzić do oszustwa albo napiętnowania. Czy pomyłka pracownika jest przestępstwem?Sama nieumyślna pomyłka w adresowaniu wiadomości lub koperty zwykle nie oznacza automatycznie odpowiedzialności karnej pracownika. Możliwa jest jednak odpowiedzialność służbowa, porządkowa albo cywilna, a w poważnych przypadkach trzeba ocenić także art. 107 ustawy o ochronie danych osobowych. Decydują okoliczności, zakres uprawnień pracownika i charakter naruszenia. Czy brak zgłoszenia naruszenia może być problemem podczas kontroli?Tak. Nawet jeśli administrator uzna, że zgłoszenie nie było konieczne, powinien mieć wewnętrzną ewidencję naruszeń i uzasadnienie swojej decyzji. Organ nadzorczy może zapytać, dlaczego naruszenia nie zgłoszono, a dokumentacja powinna umożliwiać weryfikację tej oceny. PodsumowanieOmyłkowe wysłanie faktury, e-maila albo listu do niewłaściwego odbiorcy może być naruszeniem RODO, ale nie zawsze trzeba je zgłaszać do PUODO. Kluczowe jest to, czy dokument zawierał dane osoby fizycznej i czy ujawnienie może powodować ryzyko naruszenia jej praw lub wolności. Jeżeli ryzyko jest mało prawdopodobne, zwykle wystarczy udokumentowanie incydentu i działania naprawcze. Jeżeli ryzyko istnieje, należy rozważyć zgłoszenie w terminie 72 godzin, a przy wysokim ryzyku także zawiadomienie osoby, której dane dotyczą. Najbezpieczniejsze podejście polega na szybkim ograniczeniu skutków, kontakcie z nieuprawnionym odbiorcą, sporządzeniu rzetelnej oceny ryzyka i wdrożeniu działań zapobiegających podobnym błędom w przyszłości. Potrzebujesz pomocy w swojej sprawie? Opisz swoją sprawę prawnikowi ›
Wycena zwykle w ciągu 1 godziny Źródła
1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, w szczególności art. 4 pkt 12, art. 33 i art. 34 - tekst RODO w EUR-Lex. |
|
|