UODO dowiedział się o incydencie od Rzecznika Praw Pacjenta i zażądał od ADO wyjaśnień. ADO poinformował, że nie zgłosił incydentu urzędowi, ponieważ w jego ocenie stwierdzony przez ADO incydent nie wywierał znaczących skutków dla praw i wolności osoby, której dane dotyczą.

ADO uznał, że potencjalnie pokrzywdzono jedną osobę fizyczną, której to dane ujawniono jednej, możliwej do zidentyfikowania osobie w wąskim i błędnym zakresie. Zdaniem UODO – mimo błędu w imieniu tej osoby – można ją nadal łatwo zidentyfikować, np. odczytując ze skierowania adres czy PESEL.

Tego typu pomyłka kosztowała SPZOZ 10 tys. zł z tytułu naruszenia RODO.