Odpowiedzialność karna za zaniedbanie zabezpieczenia danych osobowych

Zgodnie z art. 51 ustawy o ODO, jeżeli osoba administrująca zbiorem lub zobowiązana do ochrony danych osobowych udostępnia je nieupoważnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2 (w przypadku nieumyślnego działania, do 1 roku).

Przestępstwo to może popełnić nie tylko administrator danych, ale także osoba przez niego upoważniona. Polega ono na:

• udostępnieniu danych – przekazaniu osobie nieuprawnionej;

• umożliwieniu dostępu – stworzeniu warunków pozwalających na zapoznanie się z danymi (np. przez zmniejszenie poziomu zabezpieczeń czy ujawnienie hasła).

W tym drugim przypadku nie zawsze musi ostatecznie dojść do zapoznania się przez osobę niepowołaną z danymi osobowymi jednak nie ma to znaczenia dla odpowiedzialności karnej osoby administrującej zbiorem danych lub zobowiązanej do ochrony danych osobowych.

Istnieje także możliwość poniesienia odpowiedzialności z art. 266 §1 Kodeksu karnego („kto wbrew przepisom ustawy lub przyjętemu na siebie zobowiązaniu, ujawnia lub wykorzystuje informację, z którą zapoznał się w związku z pełnioną funkcją, wykonywaną pracą, działalnością publiczną, społeczną, gospodarczą lub naukową, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2”).

Wspominane zmniejszenie poziomu zabezpieczeń może również stanowić czyn z art. 52 ustawy. Zgodnie z tym przepisem grzywną, karą ograniczenia wolności albo pozbawienia wolności do roku można ukarać osobę, która administrując danymi narusza choćby nieumyślnie obowiązek zabezpieczenia ich przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem. Odpowiedzialności z tego przepisu nie może ponieść inna osoba niż administrator danych osobowych.

Wyciek danych osobowych rodzi możliwość poniesienia odpowiedzialności cywilnej z tytułu naruszenia dóbr osobistych. Będzie tak w szczególności wówczas gdy ujawnienie danych osobowych naruszy prywatność osób, których dane te dotyczą. Poszkodowany może wówczas żądać zaniechania zachowania w wyniku, którego dane osobowe zostały ujawnione. Ma także prawo żądać złożenia przeprosin lub podjęcia wszelkich czynności mających na celu usunięcie skutków ujawnienia danych osobowych. W gamie możliwych roszczeń mieści się także zapłata zadośćuczynienia lub zapłata odpowiedniej sumy pieniężnej na wskazany cel społeczny.