Prezes Urzędu Ochrony Danych Osobowych poinformowała o nałożeniu pierwszej administracyjnej kary pieniężnej za naruszenie przepisów o ochronie danych osobowych.
We wtorek 26 marca podczas briefingu prasowego zorganizowanego przez Urząd Ochrony Danych Osobowych, Edyta Bielak – Jomaa podała do publicznej wiadomości informację o nałożeniu pierwszej w Polsce kary administracyjnej za naruszenie przepisów RODO.
Pierwsza kara za naruszenie ochrony danych osobowych w Polsce
Prezes Urzędu Ochrony Danych Osobowych (PUODO) nałożyła karę wysokości 943 000 zł na prywatną spółkę za niespełnienie obowiązku informacyjnego wynikającego z rozporządzenia o ochronie danych. Incydent dotyczył danych ponad 6 milionów osób fizycznych. Nazwa ukaranej firmy nie została podana; jest to spółka pozyskująca dane ze źródeł publicznie dostępnych m.in. z Centralnej Ewidencji i Informacji Działalności Gospodarczej (CEiDG).
Brak spełnienia tego obowiązku spowodował, że osoby, których dane były przetwarzane, nie mogły zrealizować praw wynikających z przepisów RODO, choćby żądania usunięcia danych czy też sprostowania danych osobowych – powiedziała prezes UODO Edyta Bielak-Jomaa, przedstawiając uzasadnienie tej decyzji.
– W przypadku spółki, o której dzisiaj mówimy, sprawa dotyczy ponad 6 mln rekordów, a obowiązek informacyjny został spełniony wobec ok. 90 tys. osób, do których spółka wysłała korespondencję drogą elektroniczną – podkreślił Piotr Drobek z UODO. Według UODO firma nie kontaktowała się bezpośrednio z osobami, których adresu mailowego nie miała, zamieściła tylko informację na swojej stronie internetowej, co zdaniem Urzędu jest niewystarczające.
–W odniesieniu do 90 tys. osób, które zostały poinformowane, ponad 12 tys. osób w reakcji na przesłaną informację złożyło sprzeciw wobec przetwarzania danych w celach marketingowych. To pokazuje, jak ważne jest spełnienie obowiązku informacyjnego – podkreślił Drobek.
Kary za naruszenie RODO w innych państwach UE
Należy wspomnieć, że jest to pierwsza kara finansowa nałożona przez polski organ ochrony danych osobowych za naruszenie przepisów RODO. W innych państwach członkowskich Unii Europejskiej organy nadzorcze nałożyły już nawet po kilka kar za nieprzestrzeganie nowej regulacji. Do tej pory rekordzistą pozostaje francuski CNIL (Commission nationale de l’informatique et des libertés), który nałożył na Google karę w wysokości 50 milionów euro za brak przejrzystości, niewystarczające podawanie informacji oraz brak ważnej zgody na personalizację reklamy.
Kara nałożona na Google jest do tej pory najwyższą karą za naruszenie przepisów RODO, jednak organy nadzorcze z innych państw UE również pozostają aktywne w tej materii. Od czasu wejścia w życie RODO, europejskim organom ochrony danych osobowych udało się nałożyć 91 kar na podmioty, które nie dopełniły swoich obowiązków. Spośród wymierzonych kar warto przyjrzeć się niektórym z nich:
- Austriacki organ ochrony danych osobowych nałożył karę w wysokości ok. 4.800 euro na prywatnego przedsiębiorcę za nieprawidłowe umieszczenie monitoringu wizyjnego. Zainstalowana kamera obejmowała swoim zasięgiem znaczną część chodnika, która nie stanowiła już terenu firmy. Przedsiębiorca nie umieścił też informacji graficznych o stosowaniu monitoringu. Jest to pierwsza kara wymierzona za naruszenie RODO;
- Portugalski organ ochrony danych osobowych (Comissão Nacional de Proteção de Dados) nałożył karę w wysokości ok. 400.000 euro na szpital w Barreiro Montijo za m.in. nieuprawniony dostęp do danych klinicznych udzielonych osobom trzecim poprzez utrzymanie kilkukrotnie większej liczby kont w systemie dostępu niż faktyczna liczba pracowników;
- W Niemczech miejscowy organ nadzorczy nałożył 20.000 euro kary na niemiecki portal randkowy Knuddels.de. Portal padł ofiarą hakerskiego ataku w wyniku którego skradziono dane prawie 2 milionów kont zarejestrowanych użytkowników.
Czy będą dalsze kary?
Należy zaznaczyć, że kara nałożona przez PUODO nie jest dużym zaskoczeniem. W styczniu 2019 r. Urząd Ochrony Danych Osobowych opublikował roczny plan kontroli sektorowych, w ramach których zweryfikuje przetwarzanie danych osobowych w takich m.in. obszarach, jak: telemarketing, profilowanie w sektorze bankowym i ubezpieczeniowym czy system identyfikacji i monitoringu odpadów. Jak informowało UODO, plan kontroli sektorowych został ustalony na podstawie zgłoszonych sygnałów i skarg związanych z naruszeniami przepisów o ochronie danych osobowych.
Jest to pierwsza kara finansowa nałożona przez polski organ ochrony danych osobowych. Należy mieć jednak na uwadze, że wraz z upływem czasu aktywność Urzędu Ochrony Danych Osobowych będzie wzrastać i można przypuszczać, że również kary finansowe będą nie tylko częstsze, ale i surowsze.
Zapraszamy na szkolenie: KONTROLE URZĘDU OCHRONY DANYCH OSOBOWYCH
