Naruszenie przepisów RODO przy masowej wysyłce maili z ofertą handlową

Niezamówiona informacja handlowa

Zacznę od tego, że wysyłanie niezamówionych informacji handlowych jest naruszeniem prawa, za które grożą wysokie kary. Pan jednak dopiero spytał o możliwość wysłania oferty, więc tutaj co do zasady nie ma powodu do obaw, aczkolwiek z podawaniem linku do spotu, filmu zalecałabym ostrożność, bowiem informacja handlowa to już wszelkie informacje opisujące firmę, rekomendujące ją. Aby zatem mail nie był uznany za informację niezamówioną, powinien być bardzo krótki, krótko wskazywać i to ogólnie, czym się Pan zajmuje, i zawierać pytanie, czy może Pan wysłać ofertę. To tak na marginesie.

Maile imienne jako dane osobowe pod ochroną prawa

Pan pozyskał maile z sieci Internet, a problem polega na tym, że wysłał Pan swoje zapytanie o możliwość wysłania oferty do licznych osób, nie ukrywając adresatów, tj. każdy adresat widział innych adresatów Pana wiadomości.

Wskazuje Pan, że część maili była imienna, czyli stanowiła dane osobowe, bowiem mail, który zawiera nazwisko, imię i nazwisko, pierwszą literę imienia i nazwisko jest daną osobową – zwykle pozwala bowiem zidentyfikować osobę fizyczną. Nawet zaś przypadkowe ujawnienie danych to naruszenie przepisów RODO (art. 4 pkt 12 RODO).

Błąd przy wysyłce mailingu jako incydent naruszenia ochrony danych osobowych

W sytuacji naruszenia ochrony danych osobowych poprzez błąd przy wysyłce maila należy w pierwszej kolejności wyjaśnić wszystkie okoliczności związane z naruszeniem, a także ustalić, jakie dane osobowe, w jakim zakresie i komu zostały udostępnione. Incydent powinien zostać ujawniony w Pana wewnętrznym rejestrze naruszeń ochrony danych osobowych (jako przedsiębiorca i jednocześnie Administrator danych osobowych powinien go Pan prowadzić.

Nadto, powinien Pan dokonać oceny ryzyka naruszenia, tj. oceny poziomu wystąpienia ryzyka naruszenia praw i wolności osób fizycznych. W zależności od wyniku takiej oceny (niski, średni, wysoki poziom ryzyka) powinien Pan dobrać kroki prawne przewidziane w RODO w stosunku do organu nadzorczego, jak i osób, których dane dotyczą. Natomiast niezależnie od ustalonego poziomu ryzyka musi Pan podjąć działania zaradcze, by zminimalizować ryzyko wystąpienia podobnych naruszeń w przyszłości. I teraz tak. Jeśli w wyniku podjęcia ww. działań ustali Pan, że  pomimo incydentu ryzyko naruszenia praw i wolności osób fizycznych jest niskie, wtedy nie musi zgłaszać naruszenia Prezesowi Urzędu Ochrony Danych Osobowych ani nie musi Pan informować o tym naruszeniu osób, których dane dotyczą.

Ocena ryzyka naruszenia praw i wolności osób fizycznych, zgłoszenie do UODO

W mojej ocenie u Pana ryzyko jest niskie. Po pierwsze, maile były dostępne publicznie, po drugie treść wiadomości nie zawierała nic „tajnego”, „prywatnego”. Prezes UODO wskazał, że wiadomość e-mail z nieukrytymi odbiorcami wiadomości, która trafiła do kilku znanych administratorowi danych odbiorców, z którymi pozostaje on w stałych kontaktach, zawierająca jedynie adresy mailowe odbiorców (a zatem ich dane podstawowe) i dotyczą zadania, w którym osoby te biorą udział lub razem współpracują, jest wprawdzie naruszeniem ochrony danych, ale nacechowanym niskim ryzykiem, i nie ma konieczności zgłaszać takiego naruszenia do Prezesa UODO ani informować o nim podmiotów danych. Tym bardziej w Pana sytuacji, gdy mail (treść) był zapytaniem o zgodę na przesłanie oferty, a kontakty były dostępne w sieci w bazie portalu X nie zaś prywatnie pozyskane, ryzyko będzie trzeba ocenić jako niskie.

A zatem incydent zapisuje Pan w rejestrze naruszeń, przeprowadza ocenę ryzyka, przypisuje status niskie i takie działania przechowuje u siebie na komputerze lub drukuje do teczki zatytułowanej RODO firmowe, czy podobnie. Jeśli Pan takich tabel nie ma, nie umie sporządzić oceny, to oczywiście zajmujemy się tym i możemy pomóc. Dalej zaś w odpowiedzi na maila owego klienta wskazuje jej Pan, że dokonał Pan oceny ryzyka, a jego status ustalił jako niski, wyjaśniając pokrótce dlaczego (zgodnie z powyższym).

Źródła:

1. Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych - Dz.U. 2018 poz. 1000