Ochrona danych

Prezes UODO ukarał spółkę V. karą 3 819 960 zł za słabe zabezpieczenie danych

Spór

Prezes UODO wszczął z urzędu postępowanie wobec V. sp. z o.o. po zgłoszeniu dwóch naruszeń: dostępu do panelu pracownika i do bazy klientów sklepów internetowych. Spółka miała też nie zbierać prawidłowo zgód na przetwarzanie danych z wniosków ratalnych przed 25 maja 2018 r.

Ustalenia sądu

Organ uznał, że spółka nie wdrożyła odpowiednich środków technicznych i organizacyjnych, a dostęp mogło uzyskać około 2 200 000 osób. Spółka twierdziła, że jej zabezpieczenia były adekwatne, a usunięcie danych z wniosków ratalnych zostało udokumentowane w logach systemu.

Rozstrzygnięcie

Prezes UODO nałożył na V. sp. z o.o. z siedzibą w S. karę pieniężną w wysokości 3 819 960 zł za naruszenie art. 5 ust. 1 lit. f) i art. 5 ust. 2 RODO, a w pozostałym zakresie umorzył postępowanie.

Dlaczego

Spółka nie przeprowadziła analizy ryzyka przed naruszeniem i nie wykazała, że stosowane środki były odpowiednie. W zakresie wniosków ratalnych organ uznał wyjaśnienia spółki, bo samo zbieranie danych dotyczyło okresu sprzed stosowania rozporządzenia.

Dla firm

Administrator musi na bieżąco analizować ryzyko i regularnie testować skuteczność zabezpieczeń, a analizy prowadzone doraźnie, bez formalnej dokumentacji, nie spełniają tego wymogu.

Więcej o sprawie

Jesienią 2018 r. osoby nieuprawnione uzyskały dostęp do bazy około 2,2 mln klientów sklepów internetowych spółki. To decyzja administracyjna, nie wyrok sądu, a w pozostałym zakresie postępowanie umorzono.

Rozstrzygnięcie

Kara 3 819 960 zł

Kara pieniężna

3 819 960 zł

Sąd

Prezes Urzędu Ochrony Danych Osobowych

Sygnatura

ZSPR.421.2.2019 ZSPR.405.67.2019

Treść orzeczenia

Krajowa Izba Odwoławcza publikuje orzeczenia bez anonimizacji, więc nie przepisujemy ich treści. Pełny tekst jest w pliku PDF w wyszukiwarce Urzędu Zamówień Publicznych: ZSPR.421.2.2019 ZSPR.405.67.2019 (PDF).

Hasła tematyczne: ochrona danych osobowych

23 dni od wyroku do publikacji

1. Wyrok 17 stycznia 2024 r.
2. Portal: 9 lutego 2024 r.

Pełny tekst i metryka orzeczenia: Prezes UODO (orzeczenia.uodo.gov.pl). Tytuł i streszczenie przygotował model językowy na podstawie treści orzeczenia. Orzeczenie może być nieprawomocne.