Odc. 25 Operator pocztowy - czyli kto się przyznaje do danych w przesyłkach

Dzień dobry Państwu, witamy bardzo serdecznie w kolejnym naszym odcinku podcastu pt. RODOłamacz. Z tej strony Tomasz Osiej i Michał Czarnecki. Ten odcinek postanowiliśmy poświęcić pewnemu wyrokowi Wojewódzkiego Sądu Administracyjnego, który pojawił się 1 lipca 2022 roku, czyli bardzo świeży. Jest to wyrok w sprawie Millenium Banku, a nas interesuje może mniej bank Millenium, a bardziej to co jest zawarte w tym wyroku, co dotyczy ryzyka, oceny ryzyka, pewnego podejścia do tematu. A przede wszystkim takiego pojęcia i roli operatora pocztowego, co jest chyba najciekawszym elementem, bo tam jest kilka rzeczy ukrytych, ale to pomalutku do tego przejdziemy.

Myślę, że zaczniemy od historii całej sprawy, która miała swój początek dawno temu. W 2019 roku, tak zaczniemy tradycyjnie od wątków historycznych. Jesteśmy już w tym wieku, że lubimy powspominać. W 2019 roku dwóch klientów postanowiło założyć konto w Millenium Banku. Nie okazało się to ich najszczęśliwszą decyzją, ponieważ dokumenty związane z założeniem konta przepadły. W drodze z oddziału do centrali banku gdzieś zaginęły w meandrach infrastruktury firmy kurierskiej, która była również operatorem pocztowym. W tej korespondencji było oczywiście danych od Sasa do Lasa, bo imię, nazwisko, PESEL, adres zameldowania, numer rachunków bankowych oraz numer CIF, czyli numer identyfikacyjny klienta banku.

No i... Bank bardzo lapidarnie poinformował klientów o tym, że ta dokumentacja zaginęła. Oni ze łzami w oczach wrócili do tej placówki, zapytali się, cóż mają począć, jakie są szczegółowe ryzyka z tym związane i tych informacji nie otrzymali. W związku z tym, cóż robi niezadowolony klient? Pisze skargę, pisze skargę do kogo może. Tutaj może do prezesa Urzędu Ochrony Danych Osobowych i tak też Organ zapytał bank o wyjaśnienia. Bank odpowiedział bardzo ciekawie, ponieważ powiedział, że rzeczywiście przesyłka zaginęła, ale po pierwsze on dokonał analizy ryzyka.

Ryzyko ocenił jako średnie i nie zgłosił tego naruszenia ani Nie było przesłanek do zgłoszenia tego naruszenia i tutaj zapytam cię Tomaszu, Jak oceniasz tę swoistą logikę banku? Logika jest bardzo ciekawa, żeby nie powiedzieć porażająca, bo już jak w pierwszych słowach zacząłeś mówić o ryzyku i o cenie, to wiadomo, że jednym z tych elementów, które mnie bardzo zainteresowały, to było ryzyko.

A w zasadzie historia oceny tego ryzyka, powiedziałbym taka jak historia konta bankowego. Bo tu pojawiły się dwa elementy. Po pierwsze też, dla jasności, bank wykonał analizę, która dała nam poziom średni i powiedziała, że nie powiadomił klienta. On też nie powiadomił urzędu, co jest najważniejsze w tym, bo my będziemy się później przyglądać temu bardziej. I teraz na pytanie, jak ja to widzę, To jest taka sprzeczność wewnętrzna, że nawet nie wiem, jak to skomentować. To znaczy, jeśli wychodzi coś, że jest czarne, to w konsekwencji czarne musimy wykonać ruchy, które są dla czarnego. A tutaj bank powiedział, to jest czarne, ale jakby białe. To znaczy jest, ale nie ma.

Może oni nie doczytali tego artykułu 33 RODO, albo może ustalili sobie taką skalę ryzyka, że np. u nich średnie to niskie, wysokie to średnie, a bardzo wysokie to wysokie. A niskie to bardzo niskie. I wtedy z bardzo niskiego nie zgłaszamy. I ta analiza ryzyka i to, że to tak się wydarzyło spowodowało, że wiele osób się przyjrzało temu wyrokowi i w ogóle tej całej sytuacji, w zasadzie tej praktyce w banku. Natomiast to też jest efekt taki, że my oglądając z każdej strony ten wyrok, dostrzegliśmy tam jeszcze parę innych rzeczy, bo w samej analizie ryzyka to myślę, że tutaj można powiedzieć też, w jaki sposób bank oceniał, to znaczy jakiego narzędzia użył, ale czy to ma znaczenie, że akurat użyto tego narzędzia, bo powołano się na ENISE czy nie.

Szereg konsekwencji, które też urząd jasno wskazuje w wytycznych, informujemy, nie dość, że urząd to jeszcze Odc. 25 Operator pocztowy – czyli kto się przyznaje do danych w przesyłkach. No i sprawa trafiła do WSA, który podtrzymał to wskazując, że nie trzeba tak jakbyś dziecko nocą puścił gdzieś ulicą z plikiem banknotów. Ryzyko nie polega na tym, że ono już musi dostać tym kijem po głowie, tylko że jednak ktoś mu te pieniądze ukradnie przy okazji dając kijem po głowie.

A dla nas też bardzo ciekawa konstatacja, która się tam pojawiła to, Właśnie rola operatora pocztowego, gdzie jasno wskazano, że jeżeli chodzi o dane osobowe, to operator pocztowy jest jedynie administratorem danych związanych z przesyłką, czyli danych nadawcy i odbiorcy. Natomiast co do danych wewnątrz przesyłki, Administratorem jest nadawca, czyli bank. On jest adresatem tych wszystkich obowiązków, które nakłada RODO na administratora. Tak, ja jeszcze wrócę, ale to tylko na chwilkę do tej oceny ryzyka, ponieważ moim zdaniem ten wyrok trochę przeszedł bez aż tak dużego echa, jaki powinien wywołać.