blog
Wysoka kara UODO – incydentalny przegląd zabezpieczeń to nie regularne testowanie środków technicznych
W dniu 14 grudnia 2020 r. Prezes Urzędu Ochrony Danych Osobowych poinformował o nałożeniu kary w wysokości 1,9 mln zł na podmiot świadczący usługi w zakresie telekomunikacji bezprzewodowej tj. Virgin Mobile Polska (dalej również jako: „Spółka”) za brak wdrożonych odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzanych danych.
Opis naruszenia
W grudniu 2019 roku do Urzędu Ochrony Danych Osobowych (dalej jako: „UODO”) wpłynęło zgłoszenie naruszenia ochrony danych osobowych, informujące o naruszeniu Spółki polegającym na uzyskaniu przez osobę nieuprawnioną dostępu do danych i pozyskaniu przez nią 142.222 rekordów potwierdzeń rejestracji usług przedpłaconych, zawierających dane osobowe 114.963 klientów w zakresie imienia i nazwiska, numeru ewidencyjnego PESEL, serii i numeru dowodu osobistego, numeru telefonu, numeru NIP oraz nazwy podmiotu.
W związku z powyższym, Prezes UODO przeprowadził w Spółce kontrolę zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych, tj. z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016; dalej jako: „RODO”). Kontrola dotyczyła głównie sposobu przetwarzania danych przez Spółkę, w tym sposób zabezpieczenia danych, w ramach świadczenia usług telekomunikacyjnych abonentom usług przedpłaconych.
Po przeprowadzeniu kontroli Prezes UODO uznał, że Spółka naruszyła zasady poufności danych i rozliczalności. Wskazano, że Virgin Mobile nie przeprowadzała regularnych i kompleksowych testów, pomiarów i oceny skuteczności zastosowanych środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzanych danych. Działania w tym zakresie były podejmowane jedynie przy okazji pojawiających się podejrzeń zaistnienia podatności, czy w związku ze zmianami organizacyjnymi. Ponadto, nie były przeprowadzone testy weryfikujące zabezpieczenia związane z przekazywaniem danych między aplikacjami, które związane były z obsługą osób kupujących usługi przedpłacone.
W związku z powyższymi naruszeniami, na Spółkę nałożona została kara w wysokości 1,9 mln zł. Prezes wziął także pod uwagę poważny charakter naruszenia, gdyż stwarza ono wysokie ryzyko negatywnych skutków ochrony prawnej dla dużej liczby osób. Co więcej, sam stan naruszenia był długotrwały.
Środki techniczne i organizacyjne
Wnioski jakie należy wyciągnąć z decyzji organu są bardzo istotne dla wszystkich administratorów danych osobowych. Co istotne, Spółka stosowała środki techniczne i organizacyjne mające zapewnić bezpieczeństwo danych, aczkolwiek UODO wskazało, że ich zakres był niewystarczający. Tym samym organ uznał, że Spółka dopuściła się naruszenia kilku przepisów RODO tj. art. 5 ust. 1 lit. f, art. 5 ust. 2, art. 25 ust. 1, art. 32 ust. 1 lit. b i lit. d oraz art. 32 ust. 2. Główny zarzut dotyczył zaś art. 32 RODO, który stanowi o bezpieczeństwie danych osobowych. Zgodnie z jego brzmieniem, administratorzy danych uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym między innymi regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania. Prezes UODO uznał, iż czynności które podejmowała Spółka miały charakter incydentalny a nie regularny zatem naruszone zostały ww. przepisy RODO.
Podsumowanie
W świetle wyżej przedstawionych okoliczności, administratorzy danych powinni zweryfikować sposób wdrażania i stosowania środków technicznych i organizacyjnych dotyczących bezpieczeństwa danych. Jak uznał organ, samo ich istnienie nie przesądza o wywiązywaniu się z nałożonych przez ustawodawcę obowiązków.
Kancelaria TURCZA prowadzi kompleksową obsługę w zakresie ochrony danych osobowych w organizacji – jeśli nie wiedzą Państwo czy w Państwa organizacji wprowadzone zostały odpowiednie procedury związane z przestrzeganiem przepisów rozporządzenia RODO – zapraszamy do kontaktu.

Marta Rabe-Kozłowska
Radca prawny
Email: m.rabe-kozlowska@turcza.com.pl
Mec. Marta Rabe-Kozłowska jest specjalistką z zakresu prawa spółek handlowych, prawa gospodarczego, prawa cywilnego, ochrony danych osobowych oraz legal english.

Magdalena Wietrak-Smura
Prawnik
Email: odo@turcza.com.pl
Magdalena Wietrak-Smura specjalizuje się w prawie cywilnym oraz prawie gospodarczym z uwzględnieniem zagadnień ekonomicznych.
„Wyciek” danych z portalu LinkedIn
Na początku lipca 2021 roku pojawiły się informacje sugerujące wyciek danych osobowych z 700 milionów kont założonych na portalu LinkedIn, które teraz są oferowane na sprzedaż. Jest to już kolejna informacja o wycieku danych z tego portalu na przestrzeni ostatnich…
Przegląd najnowszych kar Urzędu Ochrony Danych Osobowych
Kara dla Spółki P4 w wysokości 100.000,00 zł Prezes Urzędu Ochrony Danych Osobowych nałożył na spółkę P4 administracyjną karę pieniężną w wysokości 100 tys. złotych za niezawiadomienie organu…
Czy pracodawca może korzystać z prywatnych danych pracownika?
Na podstawie wytycznych Prezesa Urzędu Ochrony Danych Osobowych, należy wskazać, że pracodawca który dysponuje danymi kontaktowymi pracownika pozyskanymi podczas rekrutacji (np. prywatnym…
NEWSLETTER RODO (25.05.2021)
blog1. Opinia EROD projektach decyzji stwierdzających odpowiedni stopień ochrony w Zjednoczonym Królestwie – 16.04.2021 r. W dniu 13 kwietnia 2021 r., Europejska Rada Ochrony Danych (EROD) przyjęła dwie opinie w sprawie projektów decyzji stwierdzających odpowiedni...
Kolejna milionowa kara za naruszenie ochrony danych osobowych
W dniu 17 maja 2021 roku Urząd Ochrony Danych Osobowych (dalej jako: „UODO”) poinformował o nałożeniu kary w wysokości 1,1 mln zł na Cyfrowy Polsat S.A. w związku z brakiem wdrożenia przez podmiot odpowiednich środków technicznych i organizacyjnych przy współpracy…
EIOD chce zakazać stosowania technologii rozpoznawania twarzy
blogW dniu 23 kwietnia 2021 roku Europejski Inspektor Ochrony Danych i Prywatności (dalej jako: „EIOD”) wypowiedział się na temat wykorzystania technologii pozwalającej na rozpoznawanie twarzy. W swoim oświadczeniu uznał, że stosowanie tego typu rozwiązań powinno być...
Czy dealer jest zobowiązany do zawierania umów powierzenia przetwarzania danych?
Dealerzy samochodowi prowadząc działalność gospodarczą wykonują szereg różnych czynności – począwszy od np. działalności marketingowej, przez zawieranie umów sprzedaży, do ustalania warunków…
„Wyciek” danych z portalu LinkedIn
Na początku lipca 2021 roku pojawiły się informacje sugerujące wyciek danych osobowych z 700 milionów kont założonych na portalu LinkedIn, które teraz są oferowane na sprzedaż. Jest to już kolejna informacja o wycieku danych z tego portalu na przestrzeni ostatnich…
Przegląd najnowszych kar Urzędu Ochrony Danych Osobowych
Kara dla Spółki P4 w wysokości 100.000,00 zł Prezes Urzędu Ochrony Danych Osobowych nałożył na spółkę P4 administracyjną karę pieniężną w wysokości 100 tys. złotych za niezawiadomienie organu…
Czy pracodawca może korzystać z prywatnych danych pracownika?
Na podstawie wytycznych Prezesa Urzędu Ochrony Danych Osobowych, należy wskazać, że pracodawca który dysponuje danymi kontaktowymi pracownika pozyskanymi podczas rekrutacji (np. prywatnym…
NEWSLETTER RODO (25.05.2021)
blog1. Opinia EROD projektach decyzji stwierdzających odpowiedni stopień ochrony w Zjednoczonym Królestwie – 16.04.2021 r. W dniu 13 kwietnia 2021 r., Europejska Rada Ochrony Danych (EROD) przyjęła dwie opinie w sprawie projektów decyzji stwierdzających odpowiedni...
Kolejna milionowa kara za naruszenie ochrony danych osobowych
W dniu 17 maja 2021 roku Urząd Ochrony Danych Osobowych (dalej jako: „UODO”) poinformował o nałożeniu kary w wysokości 1,1 mln zł na Cyfrowy Polsat S.A. w związku z brakiem wdrożenia przez podmiot odpowiednich środków technicznych i organizacyjnych przy współpracy…
Pytania?
KONTAKT Z KANCELARIĄ
Pomożemy wybrać odpowiednie rozwiązanie
TURCZA Kancelaria Radców Prawnych
NIP: 945-189-28-38
Telefon: +48 61 666 37 60
E-mail: kancelaria@turcza.com.pl

Oddział Poznań
ul. Palacza 144
60-278 Poznań

Oddział Leszno
ul. Niepodległości 49
64-100 Leszno
Biuro
TURCZA Kancelaria Radców Prawnych
ul. Grochowska 56
60-347 Poznań
Telefon: +48 61 666 37 60
E-mail: kancelaria@turcza.com.pl
Godziny otwarcia: od pon do pt - 8.30-16.30
O nas
TURCZA Kancelaria Radców Prawnych zapewnia stałą obsługę prawną z zakresu prawa ochrony danych osobowych zarówno przedsiębiorcom z sektora MŚP, jak i dużym spółkom notowanym na GPW S.A. w Warszawie.
Zapraszamy również na stronę internetową Kancelarii: turcza.com.pl
Nawigacja strony
Copyright © 2022 TURCZA Kancelaria Radców Prawnych. All rights reserved.