Czynności kontrolne w Virgin Mobile Polska

Sprawa dotyczy nieuprawnionego ujawnienia danych osobowych, tj. imienia, nazwiska, numeru PESEL lub numeru dokumentu potwierdzającego tożsamość części abonentów prepaid Virgin Mobile Polska. Spółka podkreśla, że doszło do ataku hakerskiego na jedną z aplikacji informatycznych, która umożliwiała dostęp do danych rejestrowych i dotyczy wyłącznie części abonentów dokonujących rejestracji prepaid.

Prezes UODO podjął decyzję o przeprowadzeniu czynności kontrolnych, mających na celu dokładne ustalenie okoliczności tej sprawy.

Warto podkreślić, że w przypadku operatorów telekomunikacyjnych powiadomienie Prezesa UODO o naruszeniu powinno nastąpić nie później niż 24 godziny po jego wykryciu (jeśli jest to wykonalne). Obowiązek taki został nałożony na dostawców publicznie dostępnych usług telekomunikacyjnych, a termin ten wynika z art. 2 ust. 2 rozporządzenia Komisji (UE) nr 611/2013. Termin ten jest krótszy niż czas wskazany w RODO – przedsiębiorcy telekomunikacyjni powinni dołożyć wszelkich starań, aby przesłać wymagane prawem informacje w terminie 24, a nie 72 godzin.

Celem zgłaszania naruszeń Prezesowi Urzędu Ochrony Danych Osobowych jest m.in. dokonanie przez organ nadzorczy oceny, czy administrator prawidłowo wypełnił m.in. obowiązek zawiadomienia o naruszeniu osób, których dane dotyczą, o ile faktycznie wystąpiła sytuacja, w której ma obowiązek to zrobić.

Zgodnie z art.3 ust.1 przywołanego rozporządzenia, jeżeli istnieje prawdopodobieństwo, że naruszenie danych osobowych wywoła niekorzystne skutki dla danych osobowych lub prywatności abonenta lub osoby fizycznej, dostawca publicznie dostępnych usług telekomunikacyjnych, oprócz powiadomienia krajowego organu nadzorczego, niezwłocznie zawiadamia o takim naruszeniu również abonenta lub użytkownika końcowego.

Każda osoba, która uzna, że jej dane osobowe są przetwarzane niezgodnie z prawem może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Co więcej, art. 79 RODO daje jej także prawo, niezależnie od złożenia skargi do Prezesa UODO, do ochrony swoich praw przed sądem cywilnym. Zgodnie zaś z art. 82 RODO jeżeli poniosła ona szkodę majątkową lub niemajątkową, ma także prawo uzyskać od administratora odszkodowanie.