Zaniedbanie we wdrożeniu zabezpieczeń danych osobowych

Nienależyte wykonywanie tego obowiązku jest zagrożone poniesieniem odpowiedzialności karnej. Zgodnie z art. 51 ustawy o ochronie danych osobowych, jeżeli osoba administrująca zbiorem lub zobowiązana do ochrony danych osobowych udostępnia je osobom nieupoważnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2 (w przypadku nieumyślnego działania do 1 roku). Przestępstwo to może popełnić nie tylko administrator danych, ale także osoba przez niego upoważniona. 

Przestępstwem jest też umożliwienie dostępu do danych (stworzenie warunków pozwalających na zapoznanie się z nimi) przez zmniejszenie poziomu zabezpieczeń czy ujawnienie hasła. I bynajmniej w tym przypadku nie ma znaczenia czy osoba nieuprawniona faktycznie zapoznała się z danymi osobowymi, czy też nie. Osoba administrująca zbiorem danych lub zobowiązana do ochrony danych osobowych i tak poniesie odpowiedzialność karną.

Istnieje także możliwość poniesienia odpowiedzialności z art. 266 § 1 Kodeksu karnego. Zgodnie z tym przepisem „kto wbrew przepisom ustawy lub przyjętemu na siebie zobowiązaniu ujawnia lub wykorzystuje informację, z którą zapoznał się w związku z pełnioną funkcją, wykonywaną pracą, działalnością publiczną, społeczną, gospodarczą lub naukową, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2”.

Z kolei zmniejszenie poziomu zabezpieczeń może również stanowić czyn karalny z art. 52 ustawy o ochronie danych osobowych. Zgodnie z tym przepisem grzywną, karą ograniczenia wolności albo pozbawienia wolności do roku można ukarać osobę, która administrując danymi narusza choćby nieumyślnie obowiązek zabezpieczenia ich przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem. Proszę zauważyć, że odpowiedzialności z tego przepisu nie może ponieść inna osoba niż administrator danych osobowych.

Wyciek danych osobowych rodzi wreszcie możliwość poniesienia odpowiedzialności cywilnej z tytułu naruszenia dóbr osobistych. Będzie tak w szczególności wówczas, gdy ujawnienie danych osobowych naruszy prywatność osób, których dane te dotyczą. Poszkodowany może wówczas żądać zaniechania działań lub zachowań, które stały się przyczyną ujawnienia danych osobowych. Ma także prawo żądać złożenia przeprosin lub podjęcia wszelkich czynności mających na celu usunięcie skutków ujawnienia danych osobowych. W gamie możliwych roszczeń mieści się także zapłata zadośćuczynienia lub zapłata odpowiedniej sumy pieniężnej na wskazany cel społeczny.