W dniu (…) lipca 2020 roku powziął informację o incydencie dotyczącym naruszenia danych osobowych. Źródłem informacji był e-mail od p. M. M. z portalu (…). Po uzyskaniu ww. informacji administrator w pierwszej kolejności skupił się na ustaleniu rodzaju problemu i przyczyn, z powodu których doszło do incydentu. Następnie podjął niezbędne kroki, aby zabezpieczyć dane osobowe w odpowiedni sposób. Pełne zabezpieczenie nastąpiło nie później niż (…) sierpnia 2020 roku, tj. kilka dni po uzyskaniu informacji o incydencie. Zatem od ujawnienia incydentu do całkowitego zabezpieczenia danych upłynęło nie więcej niż 7 dni. Następnie administrator dokonał oceny ryzyka naruszenia praw lub wolności osób fizycznych. Wzięto pod uwagę między innymi wielkość potencjalnej szkody oraz prawdopodobieństwo jej wystąpienia. Administrator ustalił z całą pewnością, że nie doszło do naruszenia szczególnych kategorii danych osobowych, w tym ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, dane biometryczne, dane dotyczące zdrowia, seksualności lub orientacji seksualnej osoby fizycznej. Naruszenie dotyczyło bowiem takich danych jak m.in. imię, nazwisko, adres e-mail, adres do wysyłki czy informacje o zakupionych produktach. Istotne okazało się, że administrator nie przechowywał danych typu: NIP, PESEL czy innych identyfikatorów. Rodzaj naruszenia został określony jako utrata poufności. Nie nastąpiła utrata dostępności ani naruszenia integralności danych. Administrator prowadzi sklep internetowy pod adresem (…). Jest on adresowany głównie do ludzi młodych, korzystających z portali społecznościowych, gdzie nierzadko ujawnia się dobrowolnie przynajmniej część z danych, których poufność została naruszona, w tym imię, nazwisko oraz wizerunek. Produkty oferowane przez sklep internetowy Administratora to głównie autorska odzież i akcesoria. Klienci sklepu internetowego podejmują decyzję o zakupie nie z powodu właściwości użytkowych oferowanych produktów, ale głównie z powodu chęci identyfikowania się z marką W. Innymi słowy, nie stanowi dla nich tajemnicy fakt dokonania zakupów w sklepie (…), wręcz przeciwnie, klienci sklepu (…) chętnie eksponują nabyte produkty. Ma to miejsce zarówno w przestrzeni publicznej typu szkoła, uczelnia, miejsce pracy, a także w mediach społecznościowych. Ten element w ocenie Administratora był istotny z punktu widzenia kontekstu przetwarzania danych i rodzaju danych, których poufność została naruszona (m.in. rodzaj nabytych produktów). Dokonując oceny ryzyka wzięto też pod uwagę okoliczności, w jakich doszło do naruszenia poufności danych oraz ujawnienia tego faktu. Mianowicie Administrator ustalił, że potencjalna możliwość naruszenia poufności istniała przez kilka miesięcy. Z treści samego artykułu w portalu, który ujawnił naruszenie, wynikało, że osoba, która uzyskała dostęp do danych, obserwowała zmiany w bazie danych. Administrator analizując wszystkie posiadane wówczas informacje doszedł do przekonania, że mimo potencjalnie długiego czasu, w którym dane były niezabezpieczone, żaden z klientów sklepu internetowego (…), ani sam administrator nie doznał jakichkolwiek niedogodności. Administrator aż do otrzymania ww. e-maila od p. M. M. nie otrzymał żadnej informacji, czy skargi w tym zakresie. Podobnie rzecz się miała po upływie ponad miesiąca od powiadomienia klientów sklepu internetowego o incydencie. Uznano także, mając na uwadze ww. okoliczności, że dostęp do danych uzyskała wyłącznie jedna osoba, która poinformowała o tym portal (…), a dla uwiarygodnienia informacji przekazała część z posiadanych danych. Osoba ta musiała posiadać ponadprzeciętną wiedzę i umiejętności z zakresu informatyki. Administrator ocenił, że jest to pasjonat w swojej dziedzinie, nie oszust. Administrator ocenił, że mimo posiadania danych osobowych, których poufność naruszono w przedmiotowym incydencie, nie jest łatwe zidentyfikowania konkretnej osoby fizycznej. Ostatecznie, po przeprowadzeniu analizy wszystkich okoliczności Administrator uznał, że jest mało prawdopodobne, by przedmiotowy incydent skutkował ryzykiem naruszenia praw lub wolności osób fizycznych. W efekcie nie dokonano zgłoszenia w przewidzianym prawem terminie. Opisana wyżej ocena zmieniła się po otrzymaniu pisma z tut. Urzędu z dnia (…) listopada 2020 r., które Administrator odczytał jako wezwanie do dokonania zgłoszenia oraz wezwanie do poinformowania osób, których dane osobowe zastały naruszone, o incydencie. W związku z tym, w odpowiedzi na ww. pismo dokonano zgłoszenia incydentu w dniu (…) grudnia 2020 r., zaś informację do osób, których dane osobowe zastały naruszone, wysłano drogą e-mailową, w dniu (…) grudnia 2020 r.