Kara dla P4 Sp. z o.o. od Prezesa UODO – czyli dlaczego błędy pracowników nie zwalniają z przestrzegania terminów ustawowych
12.07.2021
Prezes Urzędu Ochrony Danych Osobowych nałożył na P4 Sp. z o. o. (operator Play), karę pieniężną w wysokości 100 000 PLN [1]. Naruszenie polegało na niezawiadamianiu Prezesa Urzędu Ochrony Danych Osobowych o naruszeniach danych osobowych w terminie 24 godzin od ich wykrycia.
- P4 Spółka z o. o. jest jednym z operatorów telekomunikacyjnych działających na terenie Polski. Spółka przetwarza profesjonalnie i na masową skalę dane osobowe abonentów w związku ze świadczeniem mobilnych usług telekomunikacyjnych, sprzedażą mobilnych urządzeń telekomunikacyjnych oraz świadczeniem usług zarządzania siecią dystrybucji produktów telekomunikacyjnych.
- Zgodnie z przepisami Prawa telekomunikacyjnego[2] dostawca publicznie dostępnych usług telekomunikacyjnych ma obowiązek zawiadamiać Prezesa Urzędu Ochrony Danych Osobowych (UODO) o naruszeniu danych osobowych[3] .
- Dostawca jest zobowiązany do powiadomienia właściwego organu krajowego o przypadku naruszenia danych osobowych, nie później niż 24 godziny po wykryciu naruszenia danych osobowych, jeśli jest to wykonalne[4].
Dostawcy usług telekomunikacyjnych są zobowiązani notyfikować Prezesowi UODO naruszenia ochrony danych w wynikającym z przepisów szczególnych w terminie 24, a nie 72 godzin jak wynika z zasad ogólnych RODO. Dlatego organ zarzucił Spółce, że nie zorganizowała procesu notyfikacji w sposób zapewniający jego skuteczność, mimo że była do tego zobowiązana.
Jak podał Prezes UODO w decyzji Spółka broniła się podnosząc, że badane przez organ opóźnienia były wynikiem nieumyślnych błędów pracowników kancelarii odpowiedzialnych za wysyłkę korespondencji, w tym korespondencji dotyczącej naruszeń danych osobowych kierowanej do Prezesa UODO. Błędy polegały np. na niewpisaniu korespondencji do książki nadawczej, czego efektem był jej zwrot przez operatora pocztowego. Postępowanie dotyczyło zdarzeń z 2020 r., Spółka wyjaśniła, że członkowie zespołu pracowali w trybie zdalnym, a w związku ze stanem zagrożenia epidemicznego ogłoszonym w Polsce, najbliższym możliwym terminem do wysłania zawiadomień o naruszeniu pocztą tradycyjną był poniedziałek. Spółka przyznała się też do przypadku, gdy pracownik przygotowujący zawiadomienie o naruszeniu ochrony danych osobowych popełnił oczywistą omyłkę pisarską w dacie stwierdzenia naruszenia. Prezes UODO nie uznał jednak, że takie okoliczności stojące za opóźnieniami mogą stanowić podstawę umorzenia postępowania lub odstąpienia od nałożenia kary. Prezes UODO podkreślił, że błędy pracowników Spółki w tym zakresie świadczą właśnie o nieprawidłowym zorganizowaniu przez Spółkę procesu powiadamiania Prezesa UODO o naruszeniach danych osobowych, tym bardziej, że Spółka na żadnym etapie postępowania nie wykazała, aby sprawowała odpowiedni nadzór nad tym procesem, a w szczególności nad pracownikami kancelarii odpowiedzialnymi za wysyłkę tej korespondencji.
Może wydawać się, że taki zarzut i ukaranie Spółki za jednostkowe przypadki opóźnień są nieadekwatne przy ogólnej ilości zgłoszeń terminowych. Należy jednak mieć na uwadze, że już wcześniej Prezes UODO kilkukrotnie (przy okazji wezwań do wyjaśnienia powodów opóźnień) informował Spółkę, że zgłoszenia naruszenia danych osobowych można dokonać elektronicznie, oraz że najszybszą drogą jest wysłanie zgłoszenia za pośrednictwem platformy biznes.gov.pl lub platformy ePUAP. Spółka nie skorzystała jednak z tych sugestii i nadal wysyłała zawiadomienia pocztą tradycyjną. Tym samym, w ocenie PUODO, Spółka wkalkulowała ryzyko niezgłaszania w terminie naruszeń danych osobowych Prezesowi UODO, co również stanowi okoliczność obciążającą.
Spółka zmieniła praktykę zawiadomienia organu nadzorczego dopiero w lutym tego roku i od tej pory naruszenia składane są przez Spółkę za pośrednictwem platformy ePUAP. Na podstawie tego faktu organ wywiódł jednak, że zgłoszenie naruszeń danych osobowych objętych niniejszym postępowaniem Prezesowi UODO w odpowiednim terminie było wykonalne.
Po rozważeniu okoliczności dotyczących pięciu przypadków opóźnień w przesłaniu zawiadomienia o naruszeniu ochrony danych i zapoznaniu się z argumentacją Spółki, Prezes UODO nałożył na Spółkę administracyjną karę pieniężną kwota stanowi 0,0014 % przychodów operacyjnych osiągniętych przez Spółkę w 2020 r. przy maksymalnej ustawowej wysokości kary ustalonej na 3%.
Pomimo tego, że decyzja organu dotyczyła operatora telekomunikacyjnego i przepisów szczególnych, to wszystkie podmioty niezależnie od branży powinny wyciągnąć z niej wniosek, że nawet incydentalnie spóźnione zgłoszenia naruszeń ochrony danych osobowych mogą być sankcjonowane karami pieniężnymi. Drugą ważną lekcją powinno być zapamiętanie, że transformacja cyfrowa to nie tylko hasło reklamowe i warto korzystać z nowych rozwiązań również w kontakcie z organami nadzorczymi.
Przypisy:
[1] Decyzja PUODO z dn. 8.06.2021 r. znak DKN.5131.10.2020, dostęp: https://www.uodo.gov.pl/decyzje/DKN.5131.10.2020
[2] art. 174a ust. 1 ustawy Prawo telekomunikacyjne
[3] Termin i zasady powiadamiania określone są w rozporządzeniu Komisji (UE) nr 611/2013 z dnia 24 czerwca 2013 r. w sprawie środków mających zastosowanie przy powiadamianiu o przypadkach naruszenia danych osobowych, na mocy dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady o prywatności i łączności elektronicznej
[4] Stosownie do art. 2 ust. 2 rozporządzenia Komisji 611/2013 w sprawie środków mających zastosowanie przy powiadamianiu o przypadkach naruszenia danych osobowych.
Wynikający z rozporządzenia 611/2013 termin 24 godzin na zgłoszenie naruszenia ochrony danych jest nieprzypadkowy. Liczy się umożliwienie UODO odpowiednio szybkiej reakcji na zgłoszone naruszenia, w celu zapobieżenia ewentualnym negatywnym konsekwencjom dla osób, których dane dotyczą, np. kradzieży tożsamości, straty finansowej czy też naruszenia tajemnic prawnie chronionych. W ocenie organu takie sytuacje mogą mieć miejsce, gdy zakres ujawnionych danych obejmuje np. informacje widniejące w dowodach tożsamości, a więc nie tylko imię i nazwisko, ale nr PESEL, nr dokumentu, adres.
Z tej samej kategorii
Kategorie
