Ponad milionowa kara dla Cyfrowego Polsatu
Niewdrożenie odpowiednich środków technicznych i organizacyjnych zabezpieczających dane osobowe po raz kolejny stało się przyczyną nałożenia wysokiej kary finansowej. Tym razem ponad 1,1 mln zł musi zapłacić Cyfrowy Polsat S.A.
Duża liczba zgłaszanych naruszeń
Ukarana spółka w ostatnim czasie dość często zgłaszała do Urzędu Ochrony Danych Osobowych naruszenia polegające na zgubieniu korespondencji z danymi osobowymi lub dostarczaniu przesyłki z danymi do niewłaściwego odbiorcy. Zakres danych objętych naruszeniem był stosunkowo duży. Naruszenia te były wynikiem działań firmy kurierskiej świadczącej usługi na rzecz Cyfrowego Polsatu.
Naruszenia te były zgłaszane niezwłocznie po tym, jak informacja na ich temat spływała do spółki z firmy kurierskiej.
Za brak odpowiednich rozwiązań odpowiada ADO
W toku przeprowadzonego przez Prezesa UODO postępowania okazało się, że zgłoszenia tych naruszeń do organu nadzorczego miały miejsce po upływie dwóch czy nawet trzech miesięcy od ich wystąpienia. Opóźnienie dotyczyły też komunikowania naruszeń podmiotom danych.
Odpowiedzialność za te opóźnienia w ocenie PUODO ponosi administrator czyli Cyfrowy Polsat S.A. Dlaczego? Otóż administrator powinien był podjąć skuteczne działania, które:
-
zminimalizują skalę naruszeń,
-
pozwolą na szybsze identyfikowanie takich incydentów,
-
przyspieszą proces zgłaszania naruszeń do Prezesa UODO i informowania o nich podmiotów danych.
Podmioty danych były bezbronne
Tymczasem administrator nie wdrożył w tym zakresie odpowiednich środków organizacyjnych i technicznych. Przede wszystkim nieprawidłowo realizował nadzór nad egzekwowaniem postanowień umownych.
W efekcie osoby, których dane dotyczą, przez dłuższy okres czasu nie miały świadomości ryzyka wykorzystania ich danych przez osoby nieuprawnione, np. do tzw. kradzieży ich tożsamości. Tym samym nie mogły podjąć żadnych działań redukujących to ryzyko.
Rozwiązania wdrożono zbyt późno
Odpowiednie rozwiązania zostały wdrożone dopiero w toku postępowania m.in. narzędzie pozwalające śledzić przesyłki, co umożliwiło szybsze identyfikowanie i zgłaszanie utraty korespondencji z danymi osobowymi. W ocenie organu nadzorczego było to jednak działanie spóźnione.
Orzecznictwo:
-
decyzja Prezesa UODO z 22 kwietnia 2021 r. (DKN.5130.3114.2020)
-
Strona internetowa UODO (uodo.gov.pl).
- Informacja publiczna na wniosek dziennikarza – czy podlega anonimizacji
- Pozyskanie zaświadczenia o niekaralności z Krajowego Rejestru Karnego może skutkować naruszeniem RODO
- Santander Bank Polska z wysoką karą UODO za niezgłoszenie naruszenia ochrony danych
- Linie lotnicze nie informują o usunięciu danych osobowych
- Co po kontroli RODO – jak przebiega postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych
- Jak wygląda kontrola RODO przeprowadzana przez Prezesa Urzędu Ochrony Danych Osobowych - w 2024 r.
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
