A mindennapi életben gyakran előforduló kellemetlen helyzet, amikor egy üzenetet rossz címzettnek küldünk el és nem a célzott személy kapja meg. Tévesen címzett levelek kiküldésekor a kockázati forrás belső emberi hiba következménye, azaz nem egy rosszindulatú cselekedet vezet a jogsértéshez, hanem egyszerű figyelmetlenség. Az adatkezelő számára kevés megoldási lehetőség áll rendelkezésre utólagosan, így a megelőzés különösen fontos ezekben az esetekben.
Az Európai Adatvédelmi Testület a 01/2021-es Iránymutatásában példa eseteket hoz fel és elemez abból a szempontból, hogy szükséges-e az adatvédelmi incidens bejelentése a felügyeleti hatóságnak, szükséges-e az érintettek értesítése valamint milyen teendői lehetnek adatkezelőnek a jogellenes helyzet elhárítása érdekében (Guidelines 01/2021 on Examples regarding Data Breach Notification, https://edpb.europa.eu/sites/default/files/consultation/edpb_guidelines_202101_databreachnotificationexamples_v1_en.pdf ). Cikkünkben az Iránymutatás példa jogeseteiből szemezgetünk.
1. Tévedésből e-mailben kiküldött különleges személyes adatok (Az Iránymutatás 6.2. pontja)
Tényállás
A közigazgatási hivatal foglalkoztatási osztálya e-mail üzenetet küldött a közelgő képzésekről a rendszerében álláskeresőként nyilvántartott személyeknek. Tévedésből csatolt egy dokumentumot, amely tartalmazta ezen álláskeresők személyes adatait (név, e-mail cím, postai cím, társadalombiztosítási szám). Az érintett személyek száma meghaladta a 60.000 főt. Ezt követően a hivatal felvette a kapcsolatot az összes címzettel, és arra kérte őket, hogy töröljék a megkapott üzenetet, és ne használják fel az abban foglalt információkat.
Megelőző intézkedések és kockázatok értékelése
Az Európai Adatvédelmi Testület szerint a hivatalnak szigorúbb szabályokat kellett volna bevezetnie az ilyen fajta üzenetek kiküldésére. Fontolóra vehetné további ellenőrzési mechanizmusok bevezetését. Az érintett személyek száma jelentős, valamint a társadalombiztosítási számuk érintettsége más személyes adatokkal együtt tovább növeli a kockázat mértékét, amely emiatt magasnak értelmezhető. Az adatok címzettek közötti esetleges megosztását az adatkezelő nem tudja megakadályozni.
Enyhítő tényezők és kötelezettségek
A hasonló jogsértés kockázatának hatékony csökkentésére szolgáló lehetőségek korlátozottak. Bár az adatkezelő kérte az üzenet törlését, nem kényszerítheti erre a címzetteket, valamint ennek következtében az sem biztos, hogy eleget tesznek a kérésnek. A megállapított kockázat alapján szükséges intézkedések a következőek:
- belső dokumentáció készítése,
- adatvédelmi hatóság értesítése,
- érintettek értesítése.
2. Tévedésből e-mailben kiküldött személyes adatok (az Iránymutatás 6.3. pontja)
Tényállás
A jogi angol nyelvtanfolyam – amelyet 5 napig egy szállodában tartanak – résztvevőinek listáját tévedésből a szálloda helyett 15, a tanfolyamon korábban részt vett személynek küldik el. A lista tartalmazza a 15 résztvevő nevét, e-mail címét és étkezési preferenciáit. Csak ketten töltötték ki az étkezési preferencia részt, ez úton jelezve, hogy laktóz-intoleránsak. A résztvevők egyike sem minősül védett személynek. Az adatkezelő a lista elküldése után azonnal észleli a hibát és tájékoztatja a címzetteket arról, valamint kéri őket, hogy töröljék a listát.
Megelőző intézkedések és kockázatértékelés
Szigorúbb szabályokat kellett volna bevezetni az ilyen üzenetek küldésére. Fontolóra kell venni további ellenőrzési mechanizmusok bevezetését.
A személyes adatok természetéből, érzékenységéből, mennyiségéből és kontextusából eredő kockázatok alacsonyak. A személyes adatok szenzitív adatokat tartalmaznak két résztvevő étkezési preferenciájáról. Ha valaki arról tájékoztat, hogy laktóz-intoleráns, az egészségügyi adatnak számít, azonban így is viszonylag alacsonynak kell tekinteni annak kockázatát, hogy ezeket az adatokat káros módon használják fel. Míg az egészségre vonatkozó adatok esetében általában azt feltételezzük, hogy a jogsértés valószínűleg nagy kockázatot jelent az érintett számára, ugyanakkor ebben a konkrét esetben nem azonosítható annak kockázata, hogy a megsértés fizikai, anyagi következményekkel járna vagy az érintettnek nem vagyoni kárt okozna a laktóz-intolerancia információk jogosulatlan közzététele miatt. Más étel-preferenciákkal ellentétben, a laktóz-intolerancia általában nem köthető semmilyen vallási vagy filozófiai nézethez. A megsértett adatok mennyisége és az érintettek száma is nagyon alacsony.
Enyhítő tényezők és kötelezettségek
Összefoglalva megállapítható, hogy a jogsértésnek nem volt jelentős hatása az érintettekre. Az adatkezelő a hiba tudomására jutása után azonnal felvette a kapcsolatot a címzettekkel, amely enyhítő tényezőnek tekinthető. Ha az e-mailt téves vagy illetéktelen címzettnek küldtük el, akkor az adatkezelőnek ajánlott üzenetet küldeni a nem szándékos címzetteknek, elnézést kérve a hibáért, valamint leírni, hogy a kompromittáló e-mailt szükséges törölni, valamint tanácsolja a címzetteknek, hogy nincs joguk tovább használni a nekik kiküldött e-mail címeket. Ezen tények miatt a személyes adatok megsértése valószínűtlen, hogy veszélyeztetné az érintettek jogait és szabadságait, ezért nem szükséges értesíteni a felügyeleti hatóságot vagy az érintetteket. Az adatok jogellenes kezelését azonban a 33. cikk (5) bekezdésével összhangban dokumentálni kell.
A megállapított kockázat alapján szükséges intézkedések a következőek:
- belső dokumentáció készítése,
- adatvédelmi hatóság értesítése nem szükséges,
- érintettek értesítése nem szükséges.
3. Postai úton küldött levél téves címzettnek (az Iránymutatás 6.4. pontja)
Tényállás
Egy biztosítási cég autóbiztosításokat kínál. Ehhez rendszeresen frissített hozzájárulási szabályzatokat küld postai úton. A levélben a biztosított neve és címe mellett szerepel a jármű nyilvántartási száma, a folyó és a következő biztosítási év biztosítási díja, a hozzávetőleges éves kilométerteljesítmény és a biztosított születési dátuma szerepel. A GDPR 9. cikke szerinti egészségügyi adatok, a fizetési adatok (banki adatok), a gazdasági és pénzügyi adatok nincsenek feltüntetve. A leveleket automatizált borítékoló gépek csomagolják. Mechanikai hiba miatt két különböző biztosított számára írt levél egy borítékba kerül, amelyet az egyik biztosítottnak elküldenek. A biztosított otthon felbontja a levelet, és megnézi a helyesen kézbesített levelét, valamint a másik biztosítottnak címzett, helytelenül kézbesített levelét.
Előzetes intézkedések és kockázatértékelés
A helytelenül kézbesített levél tartalmazza a nevet, címet, születési dátumot, rendszámot, valamint a folyó és a következő év biztosítási díjának besorolását. Ha a biztosítási ráta a következő évben emelkedik, ez jelzi a biztosítótársasághoz benyújtott gépjármű-igényt. Az érintettre gyakorolt hatásokat közepesnek kell tekinteni, mivel a nyilvánosság számára nem elérhető információk, például a születési dátum vagy a jármű nyilvántartási száma, valamint a biztosítási ráta lehetséges emelkedése, amely nem jelentős követelés, elérhetővé vált jogosulatlan címzettek számára. Az adatokkal való visszaélés valószínűsége alacsony és közepes közötti mértékűnek értékelhető. Bár sok címzett valószínűleg a tévesen kapott levelet a szemétbe dobja, nem zárható ki teljesen, hogy a levelek felkerülnek a közösségi oldalakra, vagy kapcsolatba lépnek a biztosítottal.
Enyhítés és kötelezettségek
Az adatkezelőnek az eredeti dokumentumot saját költségén vissza kell küldetnie. A rossz címzettet tájékoztatni kell, hogy nem élhet vissza az olvasott információkkal. Valószínűleg soha nem lehet teljesen megakadályozni a postai kézbesítési hibát egy teljesen automatizált gépekkel történő tömeges postázásban. Megnövekedett gyakoriság esetén azonban ellenőrizni kell, hogy a borítékoló gépek megfelelően vannak-e beállítva és karbantartva, vagy valamilyen más rendszerszintű probléma vezet-e ilyen jogsértéshez.
A megállapított kockázat alapján szükséges intézkedések a következőek:
- belső dokumentáció készítése,
- adatvédelmi hatóság értesítése,
- érintettek értesítése nem szükséges.
Szervezeti és technikai intézkedések a téves címzett részére való küldés hatásainak megelőzésére vagy enyhítésére (az Iránymutatás 6.5. pontja)
Az alábbiakban említett intézkedések vegyítése – az esetek egyedi jellegétől függően – hozzájárulhat ahhoz, hogy csökkenjen a hasonló jogsértések előfordulásának esélye. A következő javasolt intézkedések felsorolása korántsem kizárólagos vagy átfogó. A cél inkább a megelőzési, kezelési ötletek nyújtása. Minden adatfeldolgozási tevékenység más és más, ezért az adatkezelőnek meg kell határoznia, hogy mely intézkedések illeszkednek legjobban az adott helyzethez.
- Pontos feltételek, kritériumok meghatározása – a többféle értelmezés lehetőségének kizárásával – a levelek / e-mailek küldéséhez.
- Megfelelő betanító képzés biztosítása munkavállalók/ személyi állomány számára a levelek / e-mailek küldéséről.
- Az e-mail több címzettnek való küldése esetén érdemes alapértelmezettként beállítani, hogy a címek a ’titkos másolat’ mezőben legyenek felsorolva.
- További megerősítés legyen szükséges akkor, ha több címzettnek való küldés esetén a címzettek nem szerepelnének a ’titkos másolat’ mezőben.
- A négy szem elv alkalmazása (azaz minden végrehajtási feladatot ellátó személy munkáját egy másik személy teljeskörűen felülvizsgálja)
- Automatikus címzés manuális helyett, rendelkezésre álló és naprakész adatbázisból kinyert adatokkal. Az automatikus címzési rendszert ajánlott rendszeresen felülvizsgálni a rejtett hibák és a helytelen beállítások ellenőrzése érdekében.
- Üzenetkésleltetés alkalmazása (pl. Az üzenet a nyomógombra kattintást követően egy bizonyos időtartamon belül törölhető / szerkeszthető).
- Az automatikus kiegészítés letiltása e-mail címek beírásakor.
- Figyelemfenntartó megbeszélések tartása a leggyakoribb hibákról, amelyek személyes adatok megsértéséhez vezetnek.
- Képzések és kézikönyvek biztosítása arról, hogyan kell kezelni a személyes adatok megsértéséhez vezető eseményeket, és kit kell tájékoztatni vagy mikor kell bevonni az adatvédelmi tisztviselőt.