Lista adresów e-mail trafiła do klientów Heliona w newsletterze zatytułowanym Nowy numer magazynu w. NET!. List ten trafił m.in. na skrzynkę redakcyjną Dziennika Internautów. Również kilku Czytelników przysłało do nas informacje na ten temat.

Dziennik Internautów skontaktował się z wydawnictwem telefonicznie. Pracowniczka Heliona będąca sprawcą błędu przeprosiła klientów i udzieliła wyjaśnień.

- Chciałam bardzo, bardzo gorąco przeprosić (...) to był błąd czysto ludzki. Po prostu zamiast do bazy adresy trafiły o okienko HTML z treścią – mówiła Aneta Matlok, pracowniczka Heliona.

Ponadto Aneta Matlok wyjaśniła Dziennikowi Internautów, że było to ok. 700 adresów, które trafiły do tych samych osób, których adresy znalazły się w treści. Wyciek z pewnością nie miał większych rozmiarów. Wydawnictwo wysyłało 2 newslettery, z czego jeden trafiał do całej bazy klientów, a drugi do bazy wyselekcjonowanej. Właśnie ten drugi zawierał adresy e-mail odbiorców.

fot. - Pechowy newsletter Heliona

Aneta Matlok dodała, że trudno powiedzieć, które z ujawnionych adresów są aktywne. Zapewniła też, że podobny błąd nie zdarzy się w przyszłości. Wydawnictwo postara się o odpowiednie zautomatyzowanie wysyłki newsletterów.

Nie wiemy jeszcze, czy opisany wyciek adresów można uznać za wyciek danych osobowych. Adres e-mail nie jest traktowany jako dane osobowe, ale w niektórych przypadkach możliwe jest dzięki niemu zidentyfikowanie osoby.

Rzecznik Generalnego Inspektora Danych Osobowych obiecał przygotowanie komentarza w tej sprawie. Gdy tylko go otrzymamy, ten tekst zostanie zaktualizowany.

Aktualizacja

Komentarza w sprawie wycieku adresów e-mail udzieliła Dziennikowi Internautów Małgorzata Kałużyńska-Jasak, Rzecznik Prasowy GIODO. Przede wszystkim wyjaśniła ona, że w sytuacji, gdy adres e-mail stanowi daną osobową wszystkie dokonywane na nim operacje (w tym jego ujawnianie) powinny być przeprowadzone z zachowaniem zasad wynikających z ustawy o ochronie danych osobowych..

A kiedy adres e-mail stanowi daną osobową? Odpowiedź na to pytanie znajdziemy m.in. na stronie GIODO, gdzie możemy przeczytać:

Adres poczty elektronicznej bez żadnych dodatkowych informacji umożliwiających ustalenie tożsamości osoby, co do zasady nie stanowi danej osobowej (...). Natomiast w wyjątkowych przypadkach, jeżeli elementy treści adresu poczty elektronicznej pozwalają bez nadmiernych kosztów, czasu lub działań na ustalenie na ich podstawie tożsamości danej osoby, można uznać go za daną osobową.

Adres e-mail będzie więc daną, jeśli zawiera np. imię i nazwisko lub więcej danych, np. jan.kowalski@jakasfirma.pl. Nie będzie natomiast daną osobową adres razdwatrzy@popularnyportal.pl.

- Biorąc powyższe pod uwagę, należy stwierdzić, że administrator danych powinien m.in. zastosować takie środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem (art. 36 ust. 1 ustawyo ochronie danych osobowych). Zaistniała sytuacja– polegająca na ujawnieniu danych osobowych nieuprawnionym do tego osobom – nie powinna mieć miejsca – podsumowała przedstawicielka GIODO.

Małgorzata Kałużyńska-Jasak dodała, że powyższe naruszenie zagrożone może być karą grzywny, karą ograniczenia wolności lub karą pozbawienia wolności do lat 2. Jeżeli sprawca działa nieumyślnie, podlega grzywnie, każe ograniczenia wolności lub pozbawienia wolności do roku (art. 51 ust 1 i 2 ustawy).