W dniu 14 grudnia 2020 r. Prezes Urzędu Ochrony Danych Osobowych poinformował o nałożeniu kary w wysokości 1,9 mln zł na podmiot świadczący usługi w zakresie telekomunikacji bezprzewodowej tj. Virgin Mobile Polska (dalej również jako: „Spółka”) za brak wdrożonych odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzanych danych.

Opis naruszenia

W grudniu 2019 roku do Urzędu Ochrony Danych Osobowych (dalej jako: „UODO”) wpłynęło zgłoszenie naruszenia ochrony danych osobowych, informujące o naruszeniu Spółki polegającym na uzyskaniu przez osobę nieuprawnioną dostępu do danych i pozyskaniu przez nią 142.222 rekordów potwierdzeń rejestracji usług przedpłaconych, zawierających dane osobowe 114.963 klientów w zakresie imienia i nazwiska, numeru ewidencyjnego PESEL, serii i numeru dowodu osobistego, numeru telefonu, numeru NIP oraz nazwy podmiotu.

W związku z powyższym, Prezes UODO przeprowadził w Spółce kontrolę zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych, tj. z rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016; dalej jako: „RODO”). Kontrola dotyczyła głównie sposobu przetwarzania danych przez Spółkę, w tym sposób zabezpieczenia danych, w ramach świadczenia usług telekomunikacyjnych abonentom usług przedpłaconych.

Po przeprowadzeniu kontroli Prezes UODO uznał, że Spółka naruszyła zasady poufności danych i rozliczalności. Wskazano, że Virgin Mobile nie przeprowadzała regularnych i kompleksowych testów, pomiarów i oceny skuteczności zastosowanych środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzanych danych. Działania w tym zakresie były podejmowane jedynie przy okazji pojawiających się podejrzeń zaistnienia podatności, czy w związku ze zmianami organizacyjnymi. Ponadto, nie były przeprowadzone testy weryfikujące zabezpieczenia związane z przekazywaniem danych między aplikacjami, które związane były z obsługą osób kupujących usługi przedpłacone.

W związku z powyższymi naruszeniami, na Spółkę nałożona została kara w wysokości 1,9 mln zł. Prezes wziął także pod uwagę poważny charakter naruszenia, gdyż stwarza ono wysokie ryzyko negatywnych skutków ochrony prawnej dla dużej liczby osób. Co więcej, sam stan naruszenia był długotrwały.

Środki techniczne i organizacyjne

Wnioski jakie należy wyciągnąć z decyzji organu są bardzo istotne dla wszystkich administratorów danych osobowych. Co istotne, Spółka stosowała środki techniczne i organizacyjne mające zapewnić bezpieczeństwo danych, aczkolwiek UODO wskazało, że ich zakres był niewystarczający. Tym samym organ uznał, że Spółka dopuściła się naruszenia kilku przepisów RODO tj. art. 5 ust. 1 lit. f, art. 5 ust. 2, art. 25 ust. 1, art. 32 ust. 1 lit. b i lit. d oraz art. 32 ust. 2. Główny zarzut dotyczył zaś art. 32 RODO, który stanowi o bezpieczeństwie danych osobowych. Zgodnie z jego brzmieniem, administratorzy danych uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku, w tym między innymi regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania. Prezes UODO uznał, iż czynności które podejmowała Spółka miały charakter incydentalny a nie regularny zatem naruszone zostały ww. przepisy RODO.

Podsumowanie

W świetle wyżej przedstawionych okoliczności, administratorzy danych powinni zweryfikować sposób wdrażania i stosowania środków technicznych i organizacyjnych dotyczących bezpieczeństwa danych. Jak uznał organ, samo ich istnienie nie przesądza o wywiązywaniu się z nałożonych przez ustawodawcę obowiązków.

Kancelaria TURCZA prowadzi kompleksową obsługę w zakresie ochrony danych osobowych w organizacji – jeśli nie wiedzą Państwo czy w Państwa organizacji wprowadzone zostały odpowiednie procedury związane z przestrzeganiem przepisów rozporządzenia RODO – zapraszamy do kontaktu.