Czy zaginięcie akt osobowych byłego pracownika należy uznać za przypadek podlegający zgłoszeniu zgodnie z art. 33 RODO do organu nadzorczego?

Stwierdzono zaginięcie teczki akt osobowych byłego pracownika urzędu. Przeprowadzone czynności wyjaśniające wykazały, że akta osobowe zostały wypożyczone z archiwum zakładowego i na chwilę obecną nie zostały one zwrócone. Wypożyczenie akt nastąpiło z naruszeniem wewnętrznych zasad archiwum zakładowego. Pracownicy uczestniczący w tym procesie wskazują, że akta osobowe zostały zwrócone, czego archiwista nie potwierdza. Przeprowadzone czynności wyjaśniające nie dają jednoznacznego potwierdzenia, ani znamion, które wskazywałyby na "wyciek" tej dokumentacji na zewnątrz urzędu. Najbardziej prawdopodobnym scenariuszem jest możliwość zawieruszenia się tej dokumentacji, w wyniku czego trafiła ona do innej komórki organizacyjnej. Niemniej jednak nie można na chwilę obecną ustalić miejsca jej przechowywania. Istotnym jest, że nie ma przeszkód ku temu, aby dokumenty tworzące akta osobowe zostały odtworzone.

Czy ww. przypadek kwalifikuje się do dokonania zgłoszenia do UODO, czy też uznać go można za przypadek o niskim ryzyku naruszenia praw i wolności osoby fizycznej nie wymagający takiego zgłoszenia? W jakim terminie ewentualne zgłoszenie powinno nastąpić – od momentu powzięcia informacji o naruszeniu czy po przeprowadzeniu wszystkich czynności wyjaśniających i sporządzeniu raportu końcowego?

Czy tego typu sytuacja powinna zostać zgłoszona do organów ścigania?