- Sygnatura akt
- DKN.5130.2215.2020
- Sąd
- Prezes Urzędu Ochrony Danych Osobowych
- Rodzaj
- Decyzja
- Data orzeczenia
- 22 stycznia 2022 r.
- Rozstrzygnięcie
- Kara 4 911 732 zł
- Kara pieniężna
- 4 911 732 zł
- Opublikowano w portalu
- 11 stycznia 2023 r.
- W serwisie od
Zestawienie z tego dnia- Kategorie
- Ochrona danych
© autorzy OpenStreetMap
UODO ukarał C. S.A. karą 4 911 732 zł, a R. karą 250 135 zł za naruszenie poufności
Spór
Prezes UODO prowadził z urzędu postępowanie wobec C. S.A., która zgłosiła naruszenie poufności danych klientów po nieuprawnionym skopiowaniu bazy, oraz wobec jej podmiotu przetwarzającego R. Sp. z o.o. Chodziło o to, czy wdrożenie zmian w archiwum cyfrowym odbyło się z zachowaniem wymogów RODO.
Ustalenia sądu
Organ ustalił, że nowa baza działająca w oparciu o rozwiązanie (…) została zasilona rzeczywistymi danymi osobowymi klientów bez pseudonimizacji i bez przetestowania funkcji bezpieczeństwa, a C. nie weryfikowała R. ani nie nadzorowała wdrożenia. Według wyjaśnień R. przyczyną był błąd w konfiguracji serwera, a dane pozostawały niezabezpieczone przez 5 dni.
Rozstrzygnięcie
Prezes UODO nałożył na C. S.A. administracyjną karę pieniężną w wysokości 4 911 732 zł i na R. Sp. z o.o. karę w wysokości 250 135 zł, a w pozostałym zakresie postępowanie umorzył.
Dlaczego
Organ uznał, że zastosowane środki techniczne i organizacyjne były niewystarczające, a administrator nie wypełnił obowiązku nadzoru nad podmiotem przetwarzającym. Przy ustalaniu kar uwzględniono szeroki zakres danych, w tym numery PESEL, oraz łagodzące okoliczności, takie jak szybkie zabezpieczenie danych.
Dla firm
Administrator powierzający dane powinien sprawdzić, czy podmiot przetwarzający zapewnia odpowiednie zabezpieczenia, zanim dojdzie do zmian w systemie z danymi klientów.
Więcej o sprawie
Dodatkowa baza klientów, utworzona przez R. przy zmianie w systemie archiwum cyfrowego C., została skopiowana przez nieuprawnione podmioty. Dwóch niezależnych internautów zgłosiło, że ma do niej dostęp.
- Rozstrzygnięcie
- Kara 4 911 732 zł
- Kara pieniężna
- 4 911 732 zł
- Sąd
- Prezes Urzędu Ochrony Danych Osobowych
- Sygnatura
- DKN.5130.2215.2020
Treść orzeczenia
Krajowa Izba Odwoławcza publikuje orzeczenia bez anonimizacji, więc nie przepisujemy ich treści. Pełny tekst jest w pliku PDF w wyszukiwarce Urzędu Zamówień Publicznych: DKN.5130.2215.2020 (PDF).
Hasła tematyczne: ochrona danych osobowych
354 dni od wyroku do publikacji
- Wyrok 22 stycznia 2022 r.
- Portal: 11 stycznia 2023 r.
Pełny tekst i metryka orzeczenia: Prezes UODO (orzeczenia.uodo.gov.pl). Tytuł i streszczenie przygotował model językowy na podstawie treści orzeczenia. Orzeczenie może być nieprawomocne.