Ochrona danych

UODO nałożył na bank karę 4 053 173 zł za brak zawiadomienia klientów o wycieku danych

Spór

Prezes UODO wszczął z urzędu postępowanie wobec X. S.A. w sprawie niezawiadomienia osób, których dane dotyczą, o naruszeniu ochrony danych osobowych zgłoszonym 7 lipca 2022 r.

Ustalenia sądu

Podmiot przetwarzający błędnie przesłał dokumenty bankowe klientów do innego banku, który je otworzył i zwrócił. Bank uznał ten bank za podmiot zaufany i nie zawiadomił klientów, co organ uznał za niewykazane.

Rozstrzygnięcie

Prezes UODO stwierdził naruszenie art. 34 ust. 1 i 2 RODO, nałożył karę 4 053 173 zł i nakazał zawiadomienie osób w terminie 7 dni od doręczenia decyzji.

Dlaczego

Organ uznał, że w sprawie wystąpiło wysokie ryzyko naruszenia praw, bo ujawniono m.in. numer PESEL razem z imieniem, nazwiskiem i danymi dowodu, a Bank nie wykazał stałej relacji z odbiorcą, która uzasadniałaby uznanie go za zaufanego.

Dla firm

Ocena, że odbiorca danych jest zaufany, nie wystarczyła, by pominąć zawiadomienie osób, których dane dotyczą.

Więcej o sprawie

Dokumenty z danymi klientów trafiły omyłkowo od podmiotu przetwarzającego do innego banku. Bank uznał ten bank za zaufanego odbiorcę i nie informował klientów o zdarzeniu.

Rozstrzygnięcie

Kara 4 053 173 zł

Kara pieniężna

4 053 173 zł

Sąd

Prezes Urzędu Ochrony Danych Osobowych

Sygnatura

DKN.5131.1.2024

Treść orzeczenia

Krajowa Izba Odwoławcza publikuje orzeczenia bez anonimizacji, więc nie przepisujemy ich treści. Pełny tekst jest w pliku PDF w wyszukiwarce Urzędu Zamówień Publicznych: DKN.5131.1.2024 (PDF).

Hasła tematyczne: ochrona danych osobowych

14 dni od wyroku do publikacji

1. Wyrok 20 sierpnia 2024 r.
2. Portal: 3 września 2024 r.

Pełny tekst i metryka orzeczenia: Prezes UODO (orzeczenia.uodo.gov.pl). Tytuł i streszczenie przygotował model językowy na podstawie treści orzeczenia. Orzeczenie może być nieprawomocne.