Nieprawidłowe doręczenie wiadomości lub dokumentu zawierających dane osobowe może być zakwalifikowane jako naruszenie RODO. Bez znaczenia jest w tej sytuacji, czy doszło do niego z powodu błędu zawinionego przez administratora, czy z innej przyczyny – na przykład na skutek błędnego działania algorytmów dostawcy poczt elektronicznej. Mimo, że administrator danych dochował należytej staranności adresując wiadomość, i nie miał wpływu na mechanizm dostarczenia wiadomości, to dla oceny danego przypadku szczególne znaczenie ma to, czy na skutek zdarzenia może dojść do nieuprawnionego ujawnienia danych osobowych.
Jak wskazał Prezes UODO w decyzji nr DKN.5131.5.2020 „z naruszeniem ochrony danych mamy do czynienia zarówno wówczas, gdy do zdarzenia dojdzie wskutek świadomego działania, jak i wtedy, gdy doprowadzi do niego nieumyślność. (…) Jego skutkiem jest bowiem udostępnienie danych osobowych osobie nieuprawnionej, co oznacza, iż doszło do naruszenia poufności danych”.
Naczelny Sąd Administracyjny podtrzymał wyrok Wojewódzkiego Sądu Administracyjnego, utrzymującego decyzję Prezesa UODO w sprawie nałożenia kary pieniężnej na Sąd Rejonowy w Szczecinie.
Kara została nałożona w związku z zagubieniem przez sędziego trzech pendrive’ów (jednego służbowego szyfrowanego oraz dwóch nieszyfrowanych – prywatnych), zawierających dane osobowe nieustalonej liczby osób. W trakcie badania sprawy UODO stwierdził naruszenie szeregu przepisów RODO, w tym obowiązku wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych i obowiązku zapewnienia poufności przetwarzanych danych osobowych.
NSA w wyroku z dnia 26 czerwca 2026 roku podkreślił, że kara pieniężna była jak najbardziej zasadna, gdyż doszło do naruszenia zasady poufności, a w konsekwencji zasady rozliczności. W dalszym ciągu istnieje wysokie ryzyko niezgodnego z prawem posłużenia się danymi osobowymi, gdyż nieznany jest cel, dla którego osoba bądź osoby nieuprawnione mogą podjąć działania zmierzające do wykorzystania tych danych. Istotnym faktem przemawiającym za nałożeniem kary był też brak zapewnienia odpowiedniego zabezpieczenia – pomimo świadomości zagrożeń z tym związanych, a także kategorie naruszonych danych osobowych, które mogły dotyczyć staniu zdrowia, a więc danych szczególne chronionych na gruncie RODO.
