Wysyłka wiadomości e-mailowej do błędnego odbiorcy może być naruszeniem ochrony danych osobowych, lecz nie każde takie zdarzenie będzie wymagało zawiadomienia Urzędu Ochrony Danych Osobowych lub osoby, której dane omyłkowo ujawniono. Każda taka sytuacja wymaga szczegółowej analizy pod kątem praw i wolności osób fizycznych. Kiedy błędne zaadresowanie e-maila jest naruszeniem oraz jak temu przeciwdziałać?
W sprawozdaniu z działalności Prezesa UODO za 2024 rok wskazano, że błędne zaadresowanie korespondencji było jednym z najczęściej zgłaszanych naruszeń przez administratorów. W poradniku Urzędu „Obowiązki administratorów związane z naruszeniami ochrony danych osobowych” z 2019 roku podkreślono, że przesłanie danych osobowych na niewłaściwy e-mail (bądź adres do korespondencji) jest częstym naruszeniem. Pokazuje to, że problem wciąż był obecny w ciągu ostatnich lat.
Błędne zaadresowanie e-maila. Kiedy jest naruszeniem?
W poradniku PUODO „Obowiązki administratorów związane z naruszeniami ochrony danych osobowych” z lutego 2025 roku, będącym aktualizacją opracowania z 2019 roku, jako jeden z przykładów naruszenia poufności danych wskazano wysyłkę wiadomości z danymi osobowymi do niewłaściwego i nieuprawnionego odbiorcy – z zastrzeżeniem, że administrator nie ma dowodu niedostarczenia wiadomości. Należy podkreślić, że dopiero jasne (najlepiej techniczne) zaprzeczenie odbioru korespondencji pozwala nam zakładać, że wiadomość nie trafiła do niewłaściwego adresata – w innym przypadku powinniśmy zakładać, że informacje mogły trafić w niepowołane ręce.
Mocnym dowodem niedostarczenia wiadomości jest odpowiedź od naszego serwera wysyłki poczty, którą zazwyczaj otrzymujemy dość szybko po nieudanej wysyłce e-maila. Przykładami takiej treści jest odpowiedź wraz z kodem opisanym w dokumencie RFC 3463, zawierająca konkretny powód niedostarczenia wiadomości (np. „550 5.1.1 User unknown” – adres odbiorcy nie istnieje). W zdecydowanej większości kod błędu będzie znajdował się w automatycznym mailu od naszego dostawcy, choć czasami może wydawać się nieczytelny lub ciężki do znalezienia.
Użycie funkcji „odwołaj wiadomość” lub brak potwierdzenia przeczytania wiadomości nie oznacza, że ktoś nie zapoznał się z jej treścią – konieczne jest posiadanie jasnego dowodu (np. kodu błędu SMTP od naszego serwera wysyłki poczty e-mailowej).
Oświadczenie o usunięciu i podmiot zaufany
Orzeczenie Wojewódzkiego Sądu Administracyjnego w Warszawie (II SA/Wa 1353/21) jasno wskazało, że oświadczenie o trwałym usunięciu otrzymanych danych nie przesądza o braku ryzyka w przypadku wysłania dokumentu do „niezaufanego odbiorcy”. WSA argumentował to brakiem pewności co do uprzedniego utrwalenia danych w inny sposób (np. kserokopia bądź spisanie).
W decyzji UODO z czerwca 2021 roku (DKN.5131.3.2021) podkreślono, że deklaracja o trwałym usunięciu danych nie daje gwarancji, że osoba faktycznie to zrobiła. Nie oznacza to jednak, że oświadczenie o usunięciu danych osobowych nie jest bez znaczenia. W pkt 114 Wytycznych 9/2022 Europejskiej Rady Ochrony Danych wskazano, że omyłkowa wysyłka danych do nieuprawnionego, ale zaufanego odbiorcy, ma wpływ na ocenę ryzyka. „[…] administrator może ufać odbiorcy na tyle, aby móc racjonalnie oczekiwać, że strona ta nie odczyta omyłkowo wysłanych danych lub nie uzyska do nich wglądu” – stwierdziło EROD, dodając, że nawet po uzyskaniu wglądu do danych przez takiego odbiorcę skutki naruszenia nie muszą być poważne. Jednocześnie nie eliminuje to faktu wystąpienia naruszenia, lecz sama decyzja o poinformowaniu organu nadzorczego i osób musi być oparta o ryzyko naruszenia praw i wolności osób fizycznych. Art. 33 RODO nakazuje informowanie organu nadzorczego w ciągu 72 godzin (chyba że ryzyko naruszenia praw i wolności osób fizycznych jest mało prawdopodobne), a art. 34 RODO zobowiązuje administratora do informowaniu osób, jeśli zidentyfikowane ryzyko naruszenia praw i wolności osób fizycznych jest wysokie. Jednocześnie każde naruszenie ochrony musi być odnotowane wewnętrznie przez administratora (art. 33 ust. 5 RODO).
W tym aspekcie kluczowa jest definicja zaufanego odbiorcy. W decyzji Prezesa UODO z sierpnia 2024 roku (DKN.5131.1.2024) powołującej się na przytoczone wcześniej Wytyczne 9/2022 EROD podkreślono, że nie przesądza o tym m.in. działanie podmiotu zgodnie z prawem, lecz „istnienie bezpośredniej (stałej) relacji między nadawcą a odbiorcą”, która jest długotrwała i oparta na znajomości procedur, historii oraz innych aspektów działalności odbiorcy.
Status zaufanego odbiorcy musi opierać się o długotrwałą, dogłębną relację z innym podmiotem, uwzględniającą znajomość jego procedur – samo oświadczenie o usunięciu danych nie oznacza, że organizacja jest zaufana, nawet jeśli jest renomowanym podmiotem.
Przykład 1. (na podstawie Wytycznych 01/2021 EROD)
Lista uczestników kursu językowego, zawierająca dane 15 osób (imię, nazwisko, e-mail, informacja o nietolerancji laktozy), została wysłana do byłych uczestników kursu, zamiast hotelu, gdzie odbywało się wydarzenie. Dwie osoby wykazały nietolerancję laktozy. Administrator niezwłocznie poprosił osoby o usunięcie danych. Według EROD ryzyko dotyczące wykorzystania danych w szkodliwy sposób jest niskie, głównie z racji na brak możliwej do zidentyfikowania szkody materialnej lub niematerialnej.
Przykład 2. (na podstawie Decyzji UODO ZWAD.405.11.2018)
Ubezpieczyciel wysłał dane jednej osoby do niewłaściwego adresata (m.in. numer PESEL). Administrator błędnie ocenił ryzyko naruszenia praw i wolności osoby fizycznej jako średnie (UODO uznało je za wysokie), wobec czego był zobowiązany do poinformowania poszkodowanego o naruszeniu.
Omyłkowa wysyłka w polu DW zamiast UDW
Bardzo częstym błędem w wysyłaniu wiadomości e-mailowych jest wykorzystanie pola DW (do wiadomości) zamiast UDW (ukryte do wiadomości). Drugiej opcji używa się zazwyczaj do masowej wysyłki wiadomości do wielu odbiorców.
Poznanie adresów e-mail innych osób może wiązać się z wysokim ryzykiem naruszenia praw i wolności osób fizycznych, lecz każdy przypadek wymaga oddzielnej analizy – dobrze to widać na dwóch poniższych przykładach.
Przykład 3. (na podstawie opracowania irlandzkiego organu nadzorczego ds. danych osobowych z 2021 roku)
Organizacja charytatywna wspierająca osoby z niepełnosprawnościami intelektualnymi wysłała newsletter z użyciem opcji DW zamiast UDW, co ujawniło adresy mailowe odbiorców wiadomości. Stanowiło to naruszenie ochrony, lecz ryzyko zostało uznane za niewielkie.
Przykład 4.(na podstawie opracowania brytyjskiego organu nadzorczego ds. ochrony danych, operującego w ramach regulacji zbliżonej do RODO)
ICO nałożyło karę w wysokości 7,5 tys. funtów na Związek Chrześcijańskiej Młodzieży Męskiej (YMCA) za wysyłkę maili w polu „DW” zamiast „UDW” do 255 unikalnych odbiorców, którzy najprawdopodobniej żyją z wirusem HIV. Z racji na konstrukcję adresów e-mail można było zidentyfikować 166 osób (z czego 115 z nich wraz z imieniem i nazwiskiem).
Szyfrowanie jako metoda ochrony
W przypadku wysyłania maili z plikami zawierającymi dane osobowe rekomenduje się szyfrowanie plików wraz z wysyłką hasła innym kanałem (np. SMS-em). Dzięki temu w przypadku pomyłki w adresie e-mail nieuprawniona osoba z założenia nie będzie mogła zapoznać się z treścią dokumentu, który nie był dla niej przeznaczony, ponieważ nie uzyska do niego dostępu (jeśli hasło będzie odpowiednio złożone).
Rolę wykorzystania innego kanału dobrze pokazuje przypadek opisany przez irlandzki organ nadzorczy (DPC), który otrzymał zgłoszenie dotyczące wysyłki wiadomości z danymi osobowymi do złego adresata. Plik był zaszyfrowany, lecz w kolejnej wiadomości na ten sam (błędny) adres wysłano hasło do załącznika. Zdarzenie wymagało poinformowania osób na podstawie art. 34 RODO.
Przeciwdziałanie
Kluczowym elementem przeciwdziałania błędom w wysyłaniu wiadomości e-mailowych jest szczegółowa weryfikacja adresu mailowego. Zarówno podczas przepisywania, jak i kopiowania adresu może dojść do pomyłki, dlatego kluczowe jest zwrócenie uwagi na każdy znak. Przed wysłaniem ważnych plików (np. z danymi osobowymi) można zweryfikować, czy odbiorca otrzymał od nas testową wiadomość, która nie zawiera poufnych informacji.
Podczas masowej wysyłki wiadomości, gdzie adresaci nie muszą znać e-maili pozostałych odbiorców, warto wykorzystać pole „UDW” oraz zweryfikować, czy na pewno zostało ono poprawnie wykorzystane. Niezmiennie ważną rolę odgrywają szkolenia, które powinny jasno wskazywać na różnice między polami „Do”, „DW” i „UDW” oraz budować nawyki związane z bezpieczną wysyłką wiadomości.
Pamiętając o tym, że administrator odpowiada za proces przetwarzania danych, warto wdrożyć ostrzeżenia przed wysyłką wiadomości do wielu adresatów w polu innym niż „UDW” – zmniejsza to prawdopodobieństwo błędu. Brytyjskie ICO rekomenduje również rozważenie wdrożenia umyślnego opóźnienia w wysyłce, dzięki czemu istnieje możliwość edytowania wiadomości przed jej błędnym dostarczeniem.
Podsumowanie
Zawarcie informacji o poufności korespondencji w stopce mailowej czy prośba o usunięcie przypadkowo wysłanych danych nie daje nam żadnej gwarancji, że odbiorca wiadomości faktycznie nie przetwarza dalej danych osobowych. W takiej sytuacji warto asekuracyjnie założyć, że informacje uległy naruszeniu poufności.
Każde błędne zaadresowanie wiadomości wymaga szczegółowej analizy pod kątem ryzyka dla praw i wolności osób fizycznych – szczególnie w przypadku gdy doszło do masowej wysyłki z nieplanowanym ujawnieniem odbiorcy lub poufne dane trafiły w niepowołane ręce.
