Şubat 2020'de, kiralık konutları yöneten ve bu konutların bakımını yapan bir konut topluluğuna ait (veri sorumlusu), kiracıların (ilgili kişiler) kişisel verilerini içeren belgeler çalınmıştır. Çalınan kişisel veriler, “isimler, adresler, banka hesap bilgilerinin yanı sıra, iki ilgili kişinin kişisel kimlik numarasını içeren bir noter senedinden” oluşmaktadır. Ancak, veri sorumlusu ilgili kişilerden yalnızca birini - noter senedinde kişisel verileri bulunan kişiyi - bilgilendirmiştir. Ayrıca, GDPR Madde 33(1)'in gerektirdiği şekilde Polonya Veri Koruma Otoritesi’ne (“Otorite”) bildirimde bulunmamıştır.
Ekim 2020'de, Otorite bu olay hakkında bilgi veren isimsiz bir ihbar almıştır. İhbar üzerine Otorite bir soruşturma başlatmış ve bu doğrultuda ihlalden etkilenen ilgili kişilerin sayısı ve çalınan veri kategorileri de dahil olmak üzere veri sorumlusundan bilgi talep etmiştir. Veri sorumlusu, ilgili kişileri veri ihlali hakkında sözlü olarak bilgilendirdiğini ve Veri Koruma Otoritesi’nin de bilgilendirilmesi gerektiğinin farkında olmadığını iddia etmiştir. Ayrıca veri sorumlusu, senedi hazırlayan noter (veri işleyen) ile bir veri işleme sözleşmesi imzalamadığını bildirmiştir.
İlk olarak Veri Koruma Otoritesi GDPR Madde 33(1)'in, ilgili kişilerin hak ve özgürlüklerine yönelik riskin küçük olduğu veya hiç risk olmadığı haller haricinde, veri sorumlusunun herhangi bir kişisel veri ihlalini 72 saat içinde Veri Koruma Otoritesi’ne bildirmesini zorunlu kıldığını hatırlatmıştır. Bu olayda Otorite, çalınan kişisel verilerin yetkisiz bir üçüncü tarafça kimlik dolandırıcılığı yapmak için kullanılabileceğini belirtmiştir. Dolayısıyla, Veri Koruma Otoritesi ilgili kişilerin haklarına yönelik yüksek bir risk olduğunu değerlendirmiş ve veri sorumlusunun veri ihlalini Veri Koruma Otoritesi’ne bildirmeyerek GDPR Madde 33(1)'i ihlal ettiğine karar vermiştir.
İkinci olarak, Veri Koruma Otoritesi veri sorumlusunun kişisel verilerin adil ve şeffaf bir şekilde işlenmesini (GDPR Madde 5(1)(a)) ve uygun teknik ve organizasyonel önlemlerin alınmasını sağlamak için veri işleyen ile yazılı bir veri işleme protokolü imzalamayarak GDPR Madde 28(1), (3) ve (9)'u ihlal ettiğine karar vermiştir.
Üçüncü olarak Veri Koruma Otoritesi, veri sorumlusunun GDPR Madde 34(1)'i ihlal ederek etkilenen ilgili kişilerden yalnızca birini bilgilendirdiğine dikkat çekmiştir.
Yukarıda belirtilen ihlaller nedeniyle, Veri Koruma Otoritesi veri sorumlusuna 1.556,28 PLN (yaklaşık 340 €) para cezası vermiştir.