Na dysku skradzionego komputera pracownika Szkoły Głównej Gospodarstwa Wiejskiego w Warszawie, znajdowały się dane osobowe przetwarzane w trakcie postępowań rekrutacyjnych w ostatnich latach na studia w SGGW. Były to między innymi dane identyfikacyjne - imię, nazwisko, nazwisko rodowe, imiona rodziców, pesel, płeć, narodowość, obywatelstwo, adres zamieszkania, seria i numer dowodu/paszportu, ukończona szkoła średnia, miejscowość szkoły średniej, nr telefonu komórkowego i stacjonarnego, rok ukończenia szkoły średniej, a także wyniki uzyskane na egzaminie maturalnym.

Prezes UODO otrzymał od wspomnianej uczelni zgłoszenie dotyczące naruszenia ochrony danych osobowych i podjął decyzję o wszczęciu kontroli. Ma ona na celu sprawdzenie, czy administrator prawidłowo wypełnił m.in. obowiązek zawiadomienia o naruszeniu osób, których dane dotyczą.

Przy tej okazji Urząd przypomina, że naruszenia można zgłaszać do UODO nie później niż w ciągu 72 godzin od jego stwierdzenia. Ma to miejsce w przypadku, w którym istnieje prawdopodobieństwo (wyższe niż małe) naruszenia praw i wolności osób, których dane dotyczą. Chodzi tu np. o sytuacje, w których zdarzenie może prowadzić do kradzieży tożsamości, straty finansowej czy też naruszenia tajemnic prawnie chronionych.

Jeżeli natomiast istnieje wysokie ryzyko, że wystąpią niekorzystne skutki naruszenia dla osób, których dane dotyczą, wówczas RODO wymaga, aby oprócz organu ds. ochrony danych, administrator o sytuacji poinformował również te osoby.

UODO podkreśla, że w przypadku poważnych naruszeń bardzo ważny jest czas reakcji. Dlatego, gdyby okazało się np. że administrator powinien powiadomić nie tylko Prezesa UODO, ale także osoby, których dotyczy dane zdarzenie, a tego nie zrobił, wówczas można szybko wskazać mu taką konieczność. Bardzo ważne jest bowiem, by osoby, których dane zostały np. ujawnione czy skradzione albo w inny sposób naruszone, mogły po takim powiadomieniu jak najszybciej same podjąć działania, które zabezpieczą je przed kolejnymi zagrożeniami.

Każda osoba, która uzna, że jej dane osobowe są przetwarzane niezgodnie z prawem może złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Co więcej, art. 79 RODO daje jej także prawo, niezależnie od złożenia skargi do Prezesa UODO, do ochrony swoich praw przed sądem cywilnym. Zgodnie zaś z art. 82 RODO jeżeli poniosła ona szkodę majątkową lub niemajątkową, ma także prawo uzyskać od administratora odszkodowanie.