Sklep internetowy ma prawny obowiązek zawiadomić Cię o wycieku danych, jeśli naruszenie może powodować wysokie ryzyko naruszenia Twoich praw lub wolności. Firma nie może dowolnie zrezygnować z kontaktu z klientami, chyba że spełniła ściśle określone w przepisach warunki, na przykład zastosowała odpowiednie zabezpieczenia uniemożliwiające odczytanie danych lub wydała publiczny komunikat przy niewspółmiernie dużym wysiłku organizacyjnym. W przypadku wątpliwości możesz złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych.
Zgodnie z ogólnym rozporządzeniem o ochronie danych (RODO), administrator danych osobowych, czyli w tym przypadku sklep internetowy, ma obowiązek zgłosić naruszenie ochrony danych organowi nadzorczemu (Prezesowi Urzędu Ochrony Danych Osobowych) w ciągu 72 godzin od jego wykrycia. Samo powiadomienie urzędu nie zawsze zwalnia jednak przedsiębiorcę z konieczności kontaktu z osobami, których dane wyciekły.
Jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator ma bezwzględny obowiązek bez zbędnej zwłoki zawiadomić o tym zdarzeniu Ciebie bezpośrednio. Taka informacja powinna zawierać prosty opis charakteru naruszenia, dane kontaktowe inspektora ochrony danych, możliwe konsekwencje wycieku oraz środki zaradcze podjęte lub proponowane w celu zminimalizowania negatywnych skutków. Wyciek obejmujący imiona, nazwiska, numery telefonów oraz adresy zamieszkania może wiązać się z wysokim ryzykiem, na przykład próbami wyłudzeń, podszywania się pod inną osobę (phishing) czy niechcianą korespondencją.
Prawo przewiduje nieliczne wyjątki, w których bezpośrednie zawiadomienie nie jest wymagane. Sklep mógłby odstąpić od indywidualnego kontaktu wyłącznie wtedy, gdy wdrożył środki techniczne uniemożliwiające odczytanie danych przez osoby nieuprawnione (na przykład skuteczne szyfrowanie bazy), podjął natychmiastowe działania eliminujące prawdopodobieństwo wystąpienia wysokiego ryzyka, albo gdy bezpośrednie powiadomienie wymagałoby niewspółmiernie dużego wysiłku. W tym ostatnim wypadku sklep ma jednak obowiązek wydać publiczny komunikat lub zastosować podobny środek, dzięki któremu dowiesz się o zagrożeniu w równie skuteczny sposób.
Twierdzenie infolinii, że sklep nie musiał powiadamiać klientów wyłącznie dlatego, że powiadomił odpowiednie służby, jest nieprawidłowe w świetle przepisów o ochronie danych. To nie zgłoszenie do organów zwalnia z obowiązku informacyjnego, lecz poziom ryzyka dla Twoich praw i wolności lub wystąpienie ustawowych wyjątków.
Jeżeli podejrzewasz, że sklep zlekceważył swoje obowiązki i naruszył Twoje prawa, możesz złożyć bezpłatną skargę do Prezesa Urzędu Ochrony Danych Osobowych. Możesz również skierować do samego administratora pisemne żądanie wyjaśnień na podstawie przysługującego Ci prawa dostępu do informacji o przetwarzaniu Twoich danych. W sytuacji, gdy na skutek wycieku doszło u Ciebie do wymiernej szkody majątkowej lub niemajątkowej, przysługuje Ci także roszczenie o odszkodowanie lub zadośćuczynienie przed sądem powszechnym, przy czym w takim sporze warto skonsultować się z adwokatem lub radcą prawnym.
Tę odpowiedź przygotowała sztuczna inteligencja, nie prawnik. To ogólna informacja prawna, a nie porada prawna w Twojej indywidualnej sprawie. Może zawierać błędy albo nie uwzględniać wszystkich okoliczności, dlatego sprawdź podaną podstawę prawną w aktualnym tekście ustawy. Odpowiedź nie zastępuje konsultacji z adwokatem lub radcą prawnym i nie tworzy relacji z pełnomocnikiem. Jeśli Twoja sprawa toczy się przed sądem albo biegnie w niej termin, skontaktuj się z pełnomocnikiem.