O czym firmy muszą pamiętać, gdy dokumenty zaginą w drodze pocztowej?

Naruszenie ochrony danych osobowych w wyniku zaginięcia dokumentów w przesyłce pocztowej

Wysyłanie dokumentów pocztą to w wielu firmach codzienność. Często zawierają one dane osobowe. Zaginięcie takich przesyłek może mieć konsekwencje na gruncie przepisów o ochronie danych.

Decydujące jest to, czy w wyniku zaginięcia powstaje ryzyko naruszenia praw lub wolności osób, których dane dotyczą – a jeśli tak, może to oznaczać naruszenie ochrony danych osobowych podlegające zgłoszeniu w rozumieniu RODO.

Kiedy istnieje obowiązek zgłoszenia naruszenia organowi nadzorczemu?

Jeżeli przesyłka zawierająca dane osobowe nie dotrze do zamierzonego odbiorcy i należy przyjąć, że zaginęła, może to stanowić naruszenie ochrony danych osobowych w rozumieniu art. 33 RODO.

Jeżeli przesyłka zaginie lub nieuprawniona osoba trzecia zapozna się z jej zawartością, mogą powstać ryzyka naruszenia praw lub wolności osób, których dane dotyczą wynikające z tego zdarzenia. O tym, czy istnieje obowiązek zgłoszenia, decydują w szczególności rodzaj, zakres, ilość i wrażliwość danych, których dotyczy zdarzenie.

Ryzyko jest szczególnie prawdopodobne, gdy chodzi o dane wrażliwe, takie jak dane dotyczące zdrowia, informacje finansowe lub dokumenty tożsamości.

Zgodnie z art. 33 RODO administrator jest zobowiązany zgłosić naruszenie właściwemu organowi nadzorczemu, jeżeli naruszenie ochrony danych osobowych prawdopodobnie skutkuje ryzykiem naruszenia praw lub wolności osób fizycznych.

Jeżeli występuje wręcz wysokie ryzyko, zgodnie z art. 34 RODO należy dodatkowo zawiadomić osoby, których dane dotyczą.

Kto jest odpowiedzialny za zgłoszenie?

Zgodnie z art. 33 RODO zgłaszanie naruszeń ochrony danych osobowych należy do administratora. Dlatego w przypadku zaginięcia lub błędnego doręczenia przesyłek pocztowych regularnie pojawia się pytanie, kto ponosi odpowiedzialność na gruncie przepisów o ochronie danych.

Rola operatora pocztowego

Operatorzy pocztowi świadczą z reguły samodzielną usługę przewozu i nie działają jako podmioty przetwarzające, lecz jako odrębni administratorzy w rozumieniu RODO.

Odpowiedzialność w przypadku utraty przesyłki

Wprawdzie można by początkowo przyjąć, że wraz z nadaniem przesyłki odpowiedzialność w zakresie ochrony danych przechodzi na operatora pocztowego – w praktyce jednak obowiązki w zakresie ochrony danych nadal spoczywają na nadawcy z kilku powodów:

1. Brak wiedzy o zdarzeniu: Operatorzy pocztowi z reguły sami nie zauważają zaginięcia pojedynczych przesyłek, zwłaszcza gdy nie przewidziano śledzenia przesyłki ani potwierdzenia doręczenia. Bez wiedzy o zdarzeniu nie można ani ocenić ryzyka, ani zgłosić naruszenia w terminie. Nadawca natomiast zauważy, że przesyłka nie została doręczona.
2. Brak wiedzy o zawartości przesyłki: Tylko nadawca zna konkretną zawartość przesyłki, rodzaj zawartych w niej danych osobowych, ich wrażliwość oraz możliwe skutki dla osób, których dane dotyczą. Operator pocztowy z reguły nie zna zawartości i dlatego nie może dokonać oceny ryzyka zgodnie z art. 33 i 34 RODO.
3. Brak kontaktu z osobami, których dane dotyczą: Zawiadomienie osób, których dane dotyczą, wymaga, aby można je było zidentyfikować i się z nimi skontaktować. Operator pocztowy co do zasady nie pozostaje z tymi osobami w żadnej relacji w zakresie ochrony danych i nie dysponuje potrzebnymi informacjami. Nadawca natomiast może je bez trudu poinformować.
4. Moment zaginięcia jest zwykle nieznany: Wreszcie często nie da się jednoznacznie ustalić, na jakim etapie doszło do zaginięcia lub błędnego doręczenia. Jednoznaczne przypisanie zdarzenia do sfery operatora pocztowego jest więc często niemożliwe.

Nawet jeśli do zaginięcia faktycznie dochodzi w sferze odpowiedzialności operatora pocztowego, obowiązek oceny ryzyka i ewentualnego zgłoszenia zgodnie z art. 33 RODO z reguły nadal spoczywa na nadawcy.

Nadawca musi zatem sprawdzić, czy doszło do naruszenia ochrony danych osobowych podlegającego zgłoszeniu i zgłosić je niezwłocznie – co do zasady w ciągu 72 godzin – właściwemu organowi nadzorczemu.

Do obliczenia terminu decydujące jest, kiedy administrator uzyskał wystarczającą wiedzę o możliwym zaginięciu.

Znaczenie dla przedsiębiorstw

Przy wysyłce danych osobowych należy zachować szczególną staranność. Zaginięcie dokumentów w przesyłce pocztowej może – w zależności od rodzaju i wrażliwości danych – stwarzać ryzyko dla osób, których dane dotyczą, i rodzić obowiązek zgłoszenia zgodnie z art. 33 RODO.

Także po przekazaniu przesyłki operatorowi pocztowemu nadawca pozostaje administratorem w rozumieniu przepisów o ochronie danych. W razie podejrzenia musi dokonać oceny ryzyka i zdecydować o zgłoszeniu.

Podsumowanie i zalecenia

Nie każda zaginiona przesyłka automatycznie podlega zgłoszeniu. Decydujące jest to, czy jej zaginięcie stwarza ryzyko naruszenia praw lub wolności osób, których dane dotyczą.

Wysyłając dane osobowe, firmy powinny z wyprzedzeniem wdrożyć rozwiązania organizacyjne, aby w razie podejrzenia móc działać w sposób zgodny z prawem.

Wskazówki praktyczne:

Jasne zasady, udokumentowane procesy i przeszkoleni pracownicy są kluczowe, aby ograniczyć ryzyko odpowiedzialności i w razie incydentu działać terminowo oraz zgodnie z prawem.