SA polacca, European Data Board: ammenda all’operatore di telecomunicazioni per la mancata notifica della violazione dei dati personali

La SA polacca ha ricevuto un messaggio di posta elettronica da una persona che indicava di essere un destinatario non autorizzato di una serie di documenti relativi alla conclusione di un contratto di telecomunicazioni. La SA polacca ha chiesto alla società interessata di fornire informazioni sulla suddetta violazione dei dati personali e di fornire una valutazione in termini di obbligo di notificare la violazione dei dati personali all’autorità di controllo e di comunicarla all’interessato.

La società ha risposto che in fase di conclusione del contratto è stata inviata copia del contratto con i suoi allegati all’indirizzo di posta elettronica indicato dal cliente. L’indirizzo e-mail si è rivelato errato, cosa che il cliente stesso ha segnalato chiedendone la rimozione. A parere della società, non vi erano motivi per trattare l’incidente in questione come una violazione dei dati personali, e pertanto la società non ha notificato la suddetta violazione alla SA polacca e non l’ha comunicata al cliente.

Solo dopo che la società ha ricevuto un avviso dalla SA polacca sull’avvio di un procedimento amministrativo, il responsabile del trattamento ha inviato una notifica di violazione dei dati personali all’autorità di controllo, insieme alla lettera di comunicazione al sottoscrittore sulla violazione dei dati personali.

Nel caso in questione, il titolare del trattamento ha ottenuto il doppio delle informazioni che gli avrebbero consentito di venire a conoscenza della violazione dei dati personali. La prima volta è stato quando il cliente si è rivolto al titolare informando che l’indirizzo e-mail indicato non era corretto e ne ha chiesto la rimozione, cosa che è stata annotata dalla società nella relativa notifica. E la seconda volta, quando il responsabile del trattamento ha ricevuto una lettera dalla SA polacca con la richiesta di fornire informazioni sulla violazione dei dati personali che ha comportato il consentire a terzi non autorizzati di consultare un contratto.

A parere della SA polacca, già ottenere la prima delle suddette informazioni era sufficiente per venire a conoscenza della violazione dei dati personali. Nel frattempo, la società ha notificato la violazione dei dati personali all’autorità di controllo e l’ha comunicata al sottoscrittore solo dopo l’avvio del procedimento amministrativo di causa e dopo l’esame del fascicolo.

Pertanto la SA polacca ravvisa una violazione della Legge sulle telecomunicazioni, consistente nella mancata comunicazione della violazione dei dati personali all’autorità di controllo entro 24 ore dal momento in cui ne è venuta a conoscenza e nella mancata comunicazione della violazione dei dati personali all’abbonato senza ingiustificato ritardo , ha inflitto un’ammenda di PLN 250.000 a P4 Sp. zoo

Per ulteriori informazioni:

•  decisione nella lingua nazionale (PL)