Wyrok WSA w Warszawie z dnia 19 kwietnia 2022 r., sygn. II SA/Wa 3024/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Karolina Kisielewicz (spr.), Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Piotr Borowiecki, Protokolant starszy specjalista Bogumiła Kobierska, po rozpoznaniu na rozprawie w dniu 5 kwietnia 2022 r. sprawy ze skargi [...] Towarzystwa Ubezpieczeniowego [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego [...] Towarzystwa Ubezpieczeniowego [...] S.A. z siedzibą w [...] kwotę 7 468 zł (słownie: siedem tysięcy czterysta sześćdziesiąt osiem złotych), tytułem zwrotu kosztów postępowania.

Uzasadnienie

W dniu 19 września 2002 r. do Urzędu Ochrony Danych Osobowych wpłynęła informacja o naruszeniu ochrony danych osobowych. Naruszenie polegało na wysłaniu pocztą elektroniczną przez agenta ubezpieczeniowego ([...] Sp. z o.o. z siedzibą w [...]), będącego podmiotem przetwarzającym dla [...] Towarzystwa Ubezpieczeń [...] S.A. z siedzibą w [...], zwanej dalej również Spółką, polisy ubezpieczeniowej (tzw. kalkulacji) zawierającej dane osobowe (imię, nazwisko, numer PESEL i miejscowość wraz z kodem pocztowym) klienta zainteresowanego ubezpieczeniem oferowanym przez Spółkę, na adres e-mail innej osoby, w wyniku czego doszło do naruszenia poufności danych jednej osoby fizycznej. O naruszeniu ochrony danych osobowych organ nadzorczy został poinformowany przez [...] Sp. z o.o. z siedzibą w [...].

W piśmie z 2 grudnia 2020 r. Prezes Urzędu Ochrony Danych Osobowych, na podstawie art. 58 ust. 1 lit. a) i e) rozporządzenia 2016/679, zwrócił się do [...] Towarzystwa Ubezpieczeń [...] S.A. o wyjaśnienie, czy w związku z wysyłką korespondencji elektronicznej do nieuprawnionego odbiorcy została dokonana analiza pod kątem ryzyka naruszenia praw lub wolności osób fizycznych - niezbędna do oceny, czy doszło do naruszenia ochrony danych, skutkującego koniecznością zawiadomienia Prezesa UODO (art. 33 ust. 1 i 3 rozporządzenia 2016/679) oraz osób, których dotyczy naruszenie (art. 34 ust. 1 i 2 rozporządzenia).