Ochrona danych

UODO ukarał bank karą 545 748 zł za brak zawiadomienia pracowników o naruszeniu

Spór

Prezes UODO zarzucił bankowi brak zawiadomienia osób, których dane dotyczą, o naruszeniu ochrony danych. Bank uważał, że ryzyko dla tych osób jest niskie, bo były pracownik był zaufanym odbiorcą danych.

Ustalenia sądu

Według ustaleń organu były pracownik po ustaniu stosunku pracy pięciokrotnie logował się do platformy PUE ZUS na profil płatnika banku, w okresie około ośmiu miesięcy. Dane obejmowały imiona, nazwiska, numery PESEL, adresy oraz informacje z zaświadczeń e-ZLA.

Rozstrzygnięcie

Prezes UODO stwierdził naruszenie art. 34 ust. 1 rozporządzenia 2016/679, nałożył na bank karę pieniężną w wysokości 545 748 zł i nakazał zawiadomienie osób, których dane dotyczą, w terminie 3 dni od doręczenia decyzji.

Dlaczego

Organ uznał, że były pracownik nie był odbiorcą zaufanym, bo jego logowania miały charakter celowy, a zakres danych, w tym PESEL i dane o zdrowiu, stwarzał wysokie ryzyko naruszenia praw osób, których dane dotyczą.

Dla firm

Wyciek z systemu, w którym są numery PESEL, adresy i dane o zwolnieniach lekarskich, może wymagać indywidualnego zawiadomienia każdej osoby, a ogólny komunikat w intranecie tego nie zastępuje.

Więcej o sprawie

Były pracownik pięciokrotnie logował się na konto płatnika w PUE ZUS już po zakończeniu pracy w banku. Bank uważał, że naruszenia nie było, a ogólny komunikat w intranecie miał wystarczyć.

Konkretny szczegół: była kadrowa logowała się do systemu ZUS po odejściu z banku, a bank argumentował, że jest ona odbiorcą zaufanym, co organ odrzucił.

Rozstrzygnięcie

Kara 545 748 zł

Kara pieniężna

545 748 zł

Sąd

Prezes Urzędu Ochrony Danych Osobowych

Sygnatura

DKN.5131.33.2021

Treść orzeczenia

Krajowa Izba Odwoławcza publikuje orzeczenia bez anonimizacji, więc nie przepisujemy ich treści. Pełny tekst jest w pliku PDF w wyszukiwarce Urzędu Zamówień Publicznych: DKN.5131.33.2021 (PDF).

Hasła tematyczne: ochrona danych osobowych

369 dni od wyroku do publikacji

1. Wyrok 19 stycznia 2022 r.
2. Portal: 23 stycznia 2023 r.

Pełny tekst i metryka orzeczenia: Prezes UODO (orzeczenia.uodo.gov.pl). Tytuł i streszczenie przygotował model językowy na podstawie treści orzeczenia. Orzeczenie może być nieprawomocne.