Wspólnota mieszkaniowa otrzymała karę za naruszenie danych

Kara dla wspólnoty mieszkaniowej

Wspólnota mieszkaniowa została ukarana administracyjną grzywną w wysokości nieco ponad 1,5 tys. zł przez Urząd Ochrony Danych Osobowych. W toku prowadzonego postępowania UODO zidentyfikował kilka przewinień w działalności administratora. W tym m.in. brak zgłoszenia naruszenia ochrony danych osobowych, niepowiadomienie osób, których dane zostały naruszone oraz przetwarzanie informacji o członkach wspólnoty bez ich zgody.

Urząd Ochrony Danych Osobowych zaobserwował, że naruszenie ochrony danych dotyczyło członków wspólnoty i wynikło z kradzieży dokumentów, w tym kopii aktu notarialnego, znajdujących się u zarządcy wspólnoty. Incydent został zgłoszony anonimowo.

Za co karze UODO?

W tym konkretnym przypadku jednym z najważniejszych przewinień było niepowiadomienie organu nadzorczego o wystąpieniu naruszenia danych osobowych.

Administrator ma obowiązek podjąć odpowiednie kroki w przypadku naruszenia ochrony danych osobowych. Jeśli doszło do naruszenia ochrony danych osobowych – administrator ma obowiązek zgłosić ten fakt organowi nadzorczemu w ciągu trzech dni od jego wystąpienia (a konkretniej 72 godzin).

Obowiązek ten nie jest jednak bezwzględny. Administrator może go uniknąć, jeśli przeprowadzi analizę wpływu naruszenia na prawa i wolności osób fizycznych. W przypadku, gdy ryzyko dla praw lub wolności osób fizycznych jest niewielkie, administrator może zastosować zasadę rozliczalności i zrezygnować z obowiązku zgłoszenia naruszenia. W takim przypadku istotne jest, aby wykazał on, że ryzyko jest znikome. I by dokonał bilansu szkód materialnych i niematerialnych, jakie mogą wyniknąć dla osób, których dane dotyczą.

Jednak jak przekonuje UODO w tej sprawie ryzyko wystąpienia negatywnych skutków dla członków wspólnoty mieszkaniowej było większe. A zatem administrator danych powinien był zgłosić naruszenie konkretnemu organowi.

Wspólnota nie poinformowała mieszkańców

Drugim powodem nałożenia kary pieniężnej na wspólnotę mieszkaniową było jej niezawiadomienie o naruszeniu ochrony danych osobowych wszystkich osób, których to dotyczyło.

W tej sytuacji wspólnota nie tylko nie poinformowała Urzędu o naruszeniu ochrony danych osobowych swoich członków. Ponadto zrezygnowała z poinformowania dwóch osób, których dane były przetwarzane na skradzionej kopii aktu notarialnego dotyczącego ich nieruchomości.

Według UODO naruszenie ochrony danych osobowych spowodowało wysokie ryzyko dla praw i wolności tych osób. A to wymagało powiadomienia ich o naruszeniu. Wspólnota poinformowała o tym fakcie jedynie jedną osobę – ustnie. To ta osoba zdecydowała się zgłosić sprawę policji i wystąpiła o wydanie nowego dowodu osobistego. W ocenie UODO to było niewystarczające działanie ze strony wspólnoty.

Ostatnią kwestią był brak umowy powierzenia i weryfikacji podmiotu przetwarzającego. Co także w ocenie UODO było niedopatrzeniem ze strony wspólnoty. Ostatecznie ta będzie musiała zapłacić karę.