Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia 21 kwietnia 2021 r., sygn. DKE.440.28.2021

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.) oraz na podstawie art. 160 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm.) w zw. z art. 12 pkt 2, art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) oraz z art. 57 ust. 1 lit. a) i f) Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 1 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana P. J., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez N. S.A., Prezes Urzędu Ochrony Danych Osobowych:

odmawia uwzględnienia wniosku.

UZASADNIENIE

W dniu [...] lipca 2016 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie Urzędu Ochrony Danych Osobowych) wpłynęła skarga P. J., zwanego dalej również ,,Skarżącym”, na nieprawidłowości w procesie przetwarzanie jego danych osobowych przez N. S.A., zwaną dalej również ,,Spółką”.

Z treści złożonej skargi wynika, że związana jest ona z atakiem hakerskim na stronę [...], w wyniku którego dane osobowe Skarżącego w postaci nr telefonu zostały upublicznione w Internecie. W treści skargi Skarżący wskazał, że Spółka nie udzieliła mu informacji o tym (cyt.) ,,(…) jakie dane osobowe znajdowały się lub nadal znajdują się w zbiorze danych osobowych N. S.A. oraz (…) które z tych danych były lub nadal są przetwarzane przez N. S.A. lub podmioty współpracujące i kapitałowo powiązane”. Mając na uwadze dokonane naruszenie Skarżący wniósł o wszczęcie postępowania administracyjnego względem Spółki celem sprawdzenia sposobu zabezpieczenia jego danych osobowych oraz szczegółowego ustalenia w jaki sposób osoby nieuprawnione miały dostęp do danych gromadzonych przez Spółkę.