Znana firma kurierska ukarana. Łączna kara przekracza 11 mln zł
Jedna z największych firm kurierskich, działających w Polsce, DPD, została ukarana przez UODO na wysokość niemal 11,5 mln zł. "Doszło do poważnego naruszenia przepisów" - informuje w komunikacie Urząd Ochrony Danych Osobowych.
Z tego artykułu dowiesz się:
- Jakie były dwa główne naruszenia przepisów RODO przez DPD.
- Dlaczego UODO nałożył karę 11,5 mln zł na DPD.
- Co stwierdzili inspektorzy UODO w toku kontroli DPD.
- Jakie dane osobowe były przetwarzane przez DPD podczas doręczania przesyłek.
DPD z karą od UODO na 11,5 mln zł
Urząd Ochrony Danych Osobowych poinformował w komunikacie o nałożeniu na firmę DPD kar w wysokości niemal 11,5 mln zł. W wyniku wszczętego z urzęu postępowania kontrolnego inspektorzy UODO stwierdzili dwa naruszenia w zakresie przepisów RODO. Pierwsze z nich, polegało na niezawarciu umowy powierzenia przetwarzania danych osobowych, a PUODO nałożył za to karę na administratora w kwocie 6,251 mln zł. Za drugie naruszenie, polegające na niewdrożeniu środków organizacyjnych służących zapewnieniu odpowiedniego bezpieczeństwa danych, Prezes UODO nałożył na administratora karę w kwocie 5,209 mln zł.
Postępowanie zostało wszczęte po przeprowadzeniu czynności kontrolnych, które ujawniły nieprawidłowości. Jak wskazano w toku sprawy, w procesie doręczania przesyłek administrator przetwarzał następujące dane: imiona, nazwiska, adres poczty elektronicznej, numer telefonu, adresy (nadania, doręczenia, przekierowania przesyłki), numer konta bankowego (w przypadku usługi doręczenia za pobraniem), nazwę firmy, numer przesyłki oraz podpis własnoręczny nadawcy i adresata. Jednocześnie przesyłki między oddziałami spółki dostarczali przewoźnicy zewnętrzni, którzy nie mieli zawartej stosownej umowy przetwarzania danych, wymaganej przepisami RODO.
Prezes UODO: DPD naruszyło RODO
Spółka DPD odpierała zarzuty UODO, argumentując, że umowy o przetwarzani danych nie były konieczne, bo przedmiotem umowy była czynność przewozu, która, zdaniem spółki, nie łączyła się z przetwarzaniem przez przewoźników LNH danych osobowych. Tego poglądu nie podzielał jednak Prezes UODO, który uznał, że doszło tu do naruszenia art. 28 ust. 3 RODO. To dlatego, iż przewoźnicy mieli dostęp do etykiet adresowych z danymi osobowymi. Do tego, transport obywał się pojazdami, których spółka nie była właścicielem.
Inspektorzy w toku działań stwierdzili także, że administrator nie udzielał pracownikom skutecznie i prawidłowo upoważnień do przetwarzania danych. W zamyśle spółki nowym pracownikom upoważnienia były udzielane automatycznie przez system informatyczny po odbyciu przez nich szkolenia w zakresie zasad ochrony danych osobowych na elektronicznej platformie edukacyjnej. Zaliczenie testu powodowało automatyczne wygenerowanie pliku z treścią sugerującą, że jest to upoważnienie do przetwarzania danych, jednak niezawierające istotnych elementów takich jak imię i nazwisko pracownika oraz podpis osoby udzielającej upoważnienia.
Wobec powyższego PUODO uznał, że generowanego automatycznie z systemu pliku o niejasnej treści nie można zakwalifikować jako upoważnienia do przetwarzania danych. Powyższe stanowiło z kolei naruszenie art. 32 ust. 4 i art. 29 RODO. Ostatecznie za wszystkie naruszenia Prezes UODO nałożył na DPD karę w wysokości niemal 11,5 mln zł.
Stanowisko DPD w sprawie kar UODO
W związku z artykułem DPD Polska przesłało nam swoje stanowisko w ww. sprawie. Publikujemy je w całości.
"W DPD z należytą starannością podchodzimy do jakości i bezpieczeństwa naszych usług oraz ochrony danych powiązanych z tymi procesami. Obecnie analizujemy otrzymaną decyzję PUODO. Zależy nam na rzetelnym wyjaśnieniu sprawy i wykazaniu, że nasze rozwiązania i procedury spełniają wszystkie normy bezpieczeństwa ochrony danych osobowych" - przekazano nam w komunikacie.
Źródło: Radio ZET/ Urząd Ochrony Danych Osobowych
Byłeś świadkiem czegoś niespodziewanego? Masz temat, którym powinniśmy się zająć?
Zgłoś sprawę przez Czerwony telefon Radia ZET
