Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia 9 grudnia 2020 r., sygn. DKN.5131.5.2020

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256 z późn. zm.), art. 7 ust. 1 oraz art. 60, art. 101 i art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), a także art. 57 ust. 1 lit. a), art. 58 ust. 2 lit. i), art. 83 ust. 1–3 i art. 83 ust. 4 lit. a) w związku z art. 33 ust. 1 oraz art. 34 ust. 1 i 2 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.), zwanego dalej również „rozporządzeniem 2016/679”, po przeprowadzeniu postępowania administracyjnego w sprawie braku zgłoszenia naruszenia ochrony danych osobowych Prezesowi Urzędu Ochrony Danych Osobowych oraz braku zawiadomienia o naruszeniu ochrony danych osobowych osób, których dotyczyło naruszenie przez TUiR WARTA S.A. z siedzibą w W., Prezes Urzędu Ochrony Danych Osobowych,

stwierdzając naruszenie przez TUiR WARTA S.A. z siedzibą w W. przepisów:

1. art. 33 ust. 1 rozporządzenia 2016/679, polegającego na nie zgłoszeniu Prezesowi Urzędu Ochrony Danych Osobowych naruszenia ochrony danych osobowych bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia,

2. art. 34 ust. 1 rozporządzenia 2016/679, polegającego na nie zawiadomieniu o naruszeniu ochrony danych osobowych, bez zbędnej zwłoki osób, których dane dotyczą,

nakłada na TUiR WARTA S.A. z siedzibą w W. karę pieniężną w wysokości 85 588 złotych (słownie: osiemdziesiąt pięć tysięcy pięćset osiemdziesiąt osiem złotych).

Uzasadnienie

 Do Urzędu Ochrony Danych Osobowych, zwanego dalej również ,,UODO”, dnia […] maja 2020 r. wpłynęła informacja o naruszeniu ochrony danych osobowych. Naruszenie polegało na wysłaniu pocztą elektroniczną przez agenta ubezpieczeniowego (P. U. J. K. z siedzibą w O.), będącego podmiotem przetwarzającym dla TUiR WARTA S.A. z siedzibą w W., zwanej dalej również ,,Spółką”, polisy ubezpieczeniowej zawierającej dane osobowe do nieuprawnionego adresata, w wyniku czego doszło do naruszenia poufności danych dwóch osób w zakresie imion, nazwisk, adresów zamieszkania lub korespondencyjnych, numerów PESEL, numerów telefonów, adresów poczty elektronicznej oraz informacji dotyczących przedmiotu ubezpieczenia (samochód osobowy), zakresu ubezpieczenia, płatności, cesji, a także dodatkowych zapisów wynikających z umowy. O naruszeniu ochrony danych osobowych organ nadzorczy został poinformowany przez nieuprawnionego adresata, który wszedł w posiadanie nieprzeznaczonych dla niego dokumentów zawierających ww. dane osobowe.