Przesyłanie danych osobowych pocztą elektroniczną jest dopuszczalne, ale wyłącznie przy wdrożeniu adekwatnych zabezpieczeń technicznych i organizacyjnych, w tym szyfrowania e-maili, oraz przy istnieniu ważnej podstawy prawnej przetwarzania. Brak zabezpieczeń i wysyłka w otwartej formie generują wysokie ryzyko naruszenia poufności i obowiązek zgłoszeniowy do organu nadzorczego w 72 godziny [1][2][4][5][7][8][9].
Czym są dane osobowe w e-mailach?
Dane osobowe to informacje pozwalające zidentyfikować konkretną osobę fizyczną. W tej kategorii może mieścić się także adres e-mail, o ile umożliwia identyfikację właściciela, bezpośrednio lub pośrednio, co determinuje reżim ochronny RODO i ustaw krajowych [1][6].
W praktyce ochrona obejmuje zarówno treść wiadomości, jak i metadane oraz identyfikatory, jeśli łączą się z osobą identyfikowalną. Adres e-mail bywa daną osobową w zależności od kontekstu identyfikacyjnego i powiązania z konkretnym człowiekiem [3][6].
Każde wysłanie wiadomości, która zawiera takie informacje, stanowi operację przetwarzania danych osobowych i uruchamia obowiązki administratora dotyczące bezpieczeństwa, legalności oraz rozliczalności [5][7].
Czy przesyłanie danych osobowych pocztą elektroniczną jest dopuszczalne?
Tak, przesyłanie danych osobowych pocztą elektroniczną jest prawnie dopuszczalne, jeśli spełnione są wymogi RODO i przepisów krajowych w zakresie legalnej podstawy przetwarzania, adekwatnego poziomu zabezpieczeń oraz minimalizacji ryzyka nieuprawnionego dostępu do informacji [1][5][7].
RODO dopuszcza transmisję danych przez e-mail pod warunkiem zastosowania środków zapewniających poufność, integralność i dostępność, co obejmuje szyfrowanie kanału lub treści oraz kontrolę dostępu do skrzynek i systemów [4][7].
Jakie podstawy prawne pozwalają wysyłać dane bez zgody?
Zgoda nie jest jedyną przesłanką legalizującą wysyłkę danych pocztą elektroniczną. Przetwarzanie może być niezbędne do wykonania umowy, wypełnienia obowiązku prawnego przez administratora lub ochrony żywotnych interesów osoby, której dane dotyczą. W takich przypadkach dodatkowa zgoda nie jest wymagana, o ile przetwarzanie jest proporcjonalne do celu [1].
Warunkiem koniecznym pozostaje ograniczenie zakresu danych do niezbędnego minimum oraz wybór bezpiecznego sposobu przekazania zgodnego z zasadą integralności i poufności [1][7].
Jakie zabezpieczenia są wymagane przy wysyłce e-maili z danymi?
Stosuje się środki adekwatne do ryzyka, w tym szyfrowanie e-maili oraz mechanizmy kontroli dostępu. Art. 32 ust. 1 RODO wprost wskazuje szyfrowanie jako rekomendowany środek techniczny zwiększający poufność przetwarzania, zwłaszcza w kanałach z natury narażonych na przechwycenie [4].
Obowiązuje zasada poufności z przepisów krajowych, a także praktyczny wymóg zabezpieczenia przekazu elektronicznego. W tym kontekście podkreślano znaczenie szyfrowania przy przekazywaniu danych drogą elektroniczną na gruncie rozwiązań organizacyjnych i technicznych stosowanych w bezpieczeństwie informacji [5].
Administrator powinien zapewnić odpowiednie mechanizmy ochrony na każdym etapie przetwarzania, tak aby transmisja nie skutkowała ujawnieniem lub nieuprawnioną zmianą danych w trakcie przesyłu [7].
Dlaczego zwykła wiadomość e-mail bez zabezpieczeń jest ryzykowna?
Niezabezpieczona wiadomość e-mail to forma otwarta, obarczona istotnym ryzykiem przechwycenia treści lub metadanych podczas transmisji, co jest sprzeczne z zasadą minimalizacji ryzyka i wymogiem zapewnienia poufności [7][9].
Aktualne praktyki i zalecenia kierują administratorów ku stosowaniu bezpiecznych kanałów transmisji lub dedykowanych platform do wymiany danych zamiast standardowej poczty bez warstw ochronnych. To trend wynikający z wymagań RODO oraz rosnącej ekspozycji na incydenty bezpieczeństwa [8][9].
Ocena ryzyka powinna wskazywać na konieczność wdrożenia szyfrowania oraz dodatkowych kontroli, jeśli charakter danych lub środowisko sieciowe generują ponadprzeciętne prawdopodobieństwo nieuprawnionego dostępu [4][7][9].
Kiedy mamy do czynienia z naruszeniem ochrony danych?
Naruszenie ochrony danych występuje, jeśli spełnione są łącznie trzy przesłanki. Po pierwsze musi chodzić o dane osobowe, po drugie musi istnieć ryzyko szkody dla osoby, której dane dotyczą, po trzecie prawdopodobieństwo wystąpienia tej szkody musi być wysokie. W praktyce omyłkowe ujawnienie danych osobie nieuprawnionej co do zasady spełnia te warunki i stanowi naruszenie bezpieczeństwa przetwarzania [2].
Stwierdzenie naruszenia uruchamia określone obowiązki po stronie administratora, w tym ocenę ryzyka oraz przygotowanie zgłoszenia do organu nadzorczego zgodnie z art. 33 RODO [2].
Jakie są obowiązki po naruszeniu?
Administrator bez zbędnej zwłoki dokonuje oceny ryzyka dla praw i wolności osób, których dane dotyczą, dokumentuje zdarzenie oraz zgłasza naruszenie Prezesowi UODO nie później niż w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych [2].
W razie wysokiego ryzyka dla osób, których dane dotyczą, administrator wdraża środki ograniczające to ryzyko i realizuje dalsze obowiązki informacyjne wynikające z RODO, z zachowaniem zasady rozliczalności [2][5].
Jakie sankcje grożą za nieprawidłowe przesyłanie danych e-mailem?
Niedopełnienie obowiązków w zakresie zabezpieczenia danych lub naruszenie poufności może skutkować odpowiedzialnością, w tym karami finansowymi i odpowiedzialnością karną przewidzianą w przepisach krajowych za nieumyślne naruszenie obowiązków ochronnych. Sankcje obejmują grzywnę, ograniczenie wolności lub do jednego roku pozbawienia wolności zależnie od kwalifikacji czynu [5].
W sferze komunikacji elektronicznej występuje związek z przepisami dotyczącymi zakazu wysyłania niezamówionych informacji handlowych. Zakłócanie pracy systemów teleinformatycznych masową korespondencją może skutkować odpowiedzialnością karną do 5 lat pozbawienia wolności na podstawie właściwych przepisów ustawy o świadczeniu usług drogą elektroniczną [3].
Dodatkowo, niezależnie od odpowiedzialności karnej lub administracyjnej, niedochowanie standardu zabezpieczeń może zwiększyć ryzyko roszczeń cywilnych i konieczności wdrożenia środków naprawczych, co potwierdza wagę prewencyjnego podejścia do bezpieczeństwa transmisji [2][5].
Na czym polega ocena ryzyka i adekwatności środków?
RODO wymaga, aby środki techniczne i organizacyjne były adekwatne do poziomu ryzyka, biorąc pod uwagę stan wiedzy technicznej, koszty wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz prawdopodobieństwo i wagę zagrożeń. W tym ujęciu szyfrowanie, kontrola dostępu i bezpieczne kanały transmisji stanowią podstawowe mechanizmy obniżające ryzyko [4][7].
Ocena ryzyka obejmuje potencjalne scenariusze utraty poufności, integralności i dostępności podczas wysyłki e-maili. Wnioski z oceny muszą przekładać się na praktyczne działania, takie jak szyfrowanie przy przesyle, utwardzenie środowiska pocztowego oraz procedury reagowania na incydenty [5][7].
Wymóg dbałości o poufność danych jest utrwalony w przepisach krajowych oraz praktykach bezpieczeństwa informacji. Utrzymanie zabezpieczeń na poziomie adekwatnym do ryzyka to standard sprawdzany w razie incydentów i kontroli, a stosowanie bezpiecznych platform zamiast otwartych wiadomości e-mail wpisuje się w bieżące kierunki zgodności [5][8][9].
Podsumowanie
Odpowiedź brzmi tak. Czy przesyłanie danych osobowych pocztą elektroniczną jest dopuszczalne pod warunkiem, że istnieje właściwa podstawa prawna przetwarzania, a transmisja odbywa się w sposób bezpieczny i adekwatny do ryzyka. Priorytetem jest szyfrowanie e-maili, stosowanie bezpiecznych kanałów, ograniczenie zakresu danych oraz gotowość do szybkiego działania w razie incydentu, w tym zgłoszenie do UODO w 72 godzin przy zaistnieniu przesłanek naruszenia. Aktualne trendy i wymagania regulacyjne wzmacniają znaczenie rozwiązań alternatywnych dla otwartej korespondencji e-mail i konsekwentnego zarządzania ryzykiem w całym cyklu przetwarzania [1][2][4][5][7][8][9].
Źródła:
- https://bluur.ai/pl/artykuly/bez-zgody-ale-zgodnie-z-prawem-udostepnianie-danych-osobowych-w-swietle-rodo/
- https://biznesprawnik.pl/2020/05/08/e-mail-z-danymi-osobowymi-wyslany-do-niewlasciwego-adresata-czy-podlega-zgloszeniu-do-puodo/
- https://blog-daneosobowe.pl/adres-e-mail-w-jakim-zakresie-podlega-ochronie-danych-osobowych/
- https://odo24.pl/wiedza/pytania-i-odpowiedzi-wpis.czy-szyfrowanie-przesylanych-wiadomosci-elektronicznych-jest-zgodne-z-rodo
- https://www.poradyodo.pl/odpowiedzialnosc-abiado/przesylasz-emailem-dokumenty-z-danymi-osobowymi-sprawdz-jak-je-zabezpieczyc-7896.html
- https://poradnikprzedsiebiorcy.pl/-rodo-a-adres-e-mail-czy-zawsze-jest-chroniona-dana-osobowa
- https://www.politykabezpieczenstwa.pl/pl/a/bezpieczenstwo-danych-w-wiadomosciach-e-mail
- https://sylwiaczub.pl/co-zrobic-gdy-jestesmy-proszeni-o-wyslanie-danych-osobowych-przez-e-mail/
- https://insly.pl/wysylasz-dokumenty-z-poufnymi-danymi-e-mailem-sprawdz-jakie-ryzyko-to-ze-soba-niesie/
MaleWielkieDane.pl – portal o technologii bez marketingowego bełkotu. Piszemy o analizie danych, AI, cyberbezpieczeństwie i innowacjach dla ludzi, którzy potrzebują odpowiedzi, nie teorii.