W dniu 17 maja 2021 roku Urząd Ochrony Danych Osobowych (dalej jako: „UODO”) poinformował o nałożeniu kary w wysokości 1,1 mln zł na Cyfrowy Polsat S.A. w związku z brakiem wdrożenia przez podmiot odpowiednich środków technicznych i organizacyjnych przy współpracy z firmą kurierską.

Naruszenie ochrony danych osobowych

Powodem wszczęcia postępowania przez UODO było liczne zgłaszanie naruszeń przez Cyfrowy Polsat S.A. dotyczących zgubionej korespondencja z danymi osobowymi lub dostarczenie takiej przesyłki do niewłaściwego odbiorcy przez firmy kurierskie. Ponadto przeprowadzona przez Urząd analiza wykazała, że administrator danych zgłaszał naruszenia bezpieczeństwa danych do UODO ze znacznym opóźnieniem wynoszącym nawet 3 miesiące od momentu wystąpienia incydentu.

Cyfrowy Polsat swoją zwłokę tłumaczył późnym przekazywaniem wiadomości przez firmy kurierskie. Takie uzasadnienie nie przekonało urzędu, który uznał że to administrator powinien podjąć skuteczne działania, które ograniczają skalę naruszeń oraz pozwolą na szybsze identyfikowanie takich incydentów. UODO zaznaczył także, że Cyfrowy Polsat zbyt późno przekazywał informacje podmiotom danych, których dotyczyło naruszenie, co z kolei oznaczało wyższe ryzyko wystąpienia negatywnych konsekwencji dla osób fizycznych.

Organ zaznaczył, że przesyłki zawierały często szereg danych osobowych takich jak dane korespondencyjne, ID kontraktu, numer umowy czy numery faktur. Zatem brak wdrożonych odpowiednich środków organizacyjnych i technicznych o których stanowi art. 32 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej jako: „RODO”) zadecydował o nałożeniu wysokiej kary finansowej – 1,1 mln zł.

Przypomnijmy, że przywołany przepis Rozporządzenia nakłada na administratora i podmiot przetwarzający ogólny obowiązek zabezpieczenia przetwarzanych danych. Przy wdrażaniu zabezpieczeń należy wskazać jakie aspekty powinny zostać wzięte pod uwagę przy ocenie ryzyka i wdrożeniu zabezpieczeń jakie rodzaje funkcjonalności są potrzebne aby zapewnić odpowiedni poziom bezpieczeństwa. Zdaniem organu administrator nie dopełnił rzeczonych obowiązków.

Warto podkreślić, że pomimo iż nieprawidłowości związanie były z naruszeniami po stronie firmy kurierskiej, to UODO stwierdził, że to właśnie administrator danych powinien zostać ukarany jako, że nieprawidłowo realizował nadzór nad zawartymi umowami, przez co dochodziło do późnej weryfikacji naruszeń. To jego działania doprowadziły do szeregu zaniedbań polegających na tym, że ani UODO ani podmioty danych przez wiele miesięcy nie dowiadywały się o zaistniałych incydentach bezpieczeństwa danych.

W związku z powyższym, Prezes UODO zdecydował się nałożyć na spółkę karę za naruszenia przepisów RODO, gdyż – jak wskazał – zastosowanie innych środków naprawczych nie byłoby proporcjonalne do stwierdzonych nieprawidłowości. Nie gwarantowałoby również tego, że administrator ten w przyszłości nie dopuści się podobnych zaniedbań.

Kancelaria TURCZA prowadzi kompleksową obsługę w zakresie ochrony danych osobowych w organizacji – jeśli nie wiedzą Państwo czy w Państwa organizacji wprowadzone zostały odpowiednie procedury związane z przestrzeganiem przepisów rozporządzenia RODO – zapraszamy do kontaktu.

Pełna treść decyzji: https://www.uodo.gov.pl/decyzje/DKN.5130.3114.2020