Rozhodnutia o uložení opatrení v roku 2023 týkajúce prijatých technických a organizačných opatrení, ako aj oznámenia porušení ochrany osobných údajov

Tento článok rozoberá vybrané rozhodnutia Úradu na ochranu osobných údajov SR (ďalej len: „úrad“) za rok 2023, ktorý je oprávnený rozhodnúť v zmysle § 102 ods. 1 zákona č. 18/2018 Z. z. o ochrane osobných údajov v znení neskorších predpisov (ďalej len: „zákon č. 18/2018“), ak zistí porušenie práv dotknutej osoby alebo nesplnenie povinností pri spracúvaní osobných údajov ustanovených zákonom č. 18/2018 alebo Nariadením Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe týchto údajov, ktorým sa zrušuje smernica 95/46/ES (ďalej len „GDPR“ alebo „Nariadenie“), účastníkom konania.

Úvod

V tomto článku si rozoberieme rozhodnutia, ktoré úrad uložil v roku 2023 a týkali sa alebo nejako súviseli s nedostatočným prijatím primeraných technických a organizačných opatrení.

1. Porušenia zásady integrity a dôvernosti podľa čl. 5 ods. 1 písm. f) Nariadenia.

Podľa čl. 5 ods. 1 písm. f) Nariadenia: „Osobné údaje musia byť spracúvané spôsobom, ktorý zaručuje primeranú bezpečnosť osobných údajov, vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením, a to prostredníctvom primeraných technických alebo organizačných opatrení („integrita a dôvernosť“).“

Rozhodnutie č. 1

Popis skutkového stavu: V novembri 2022 bolo úradu doručené oznámenie o tom, že osobné údaje cca 3 100 dotknutých osôb v rozsahu meno, priezvisko, email, dátum narodenia, telefónne číslo, dátum registrácie a heslo v hash forme sa nachádzajú na konkrétnej adrese s poskytnutím linku. Uvedené osobné údaje boli voľne stiahnuteľné bez potreby autentifikácie k dátovému súboru. Úrad začal konanie z vlastnej iniciatívy ...