Rekordowa wysokość kary nałożonej przez Prezesa UODO
05.04.2022
Na Fortum Marketing and Sales Polska S.A. decyzją Prezesa Urzędu Ochrony Danych Osobowych została nałożona administracyjna kara pieniężna w wysokości ponad 4,9 mln zł za niewdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych oraz brak weryfikacji podmiotu przetwarzającego. Karą administracyjną obciążony został także podmiot przetwarzający.
Prezes Urzędu Ochrony Danych Osobowych (dalej „PUODO”) opublikował decyzję wydaną dnia 19 stycznia 2022, mocą której nałożył dwie administracyjne kary pieniężne[1]:
- na spółkę Fortum Marketing and Sales Polska S.A. będącą administratorem w wysokości 4 911 732 PLN za naruszenie polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych, skutkującym naruszeniem ich poufności, oraz na braku weryfikacji podmiotu przetwarzającego, czy zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO[2];
- na podmiot przetwarzający – spółkę PIKA Sp. z o.o., w wysokości 250 135 PLN za naruszenie polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych, w tym zapewnienie ich poufności.
Kara, którą została obciążona spółka Fortum Marketing and Sales Polska S.A. jest najwyższą z dotychczasowych wymierzonych przez PUODO kar administracyjnych.
Jak doszło do wszczęcia postępowania administracyjnego?
Zgodnie ze stanem faktycznym opisanym w decyzji PUODO, Spółka Fortum Marketing and Sales Polska S.A. to podmiot zajmujący się obrotem energią elektryczną i paliwem gazowym. W ramach prowadzonej działalności gospodarczej Fortum Marketing and Sales Polska S.A. współpracuje z PIKA Spółką z o.o., która świadczy na jej rzecz usługę prowadzenia archiwum, w tym archiwum cyfrowego.
Z treści decyzji wynika, że ukarana spółka w kwietniu 2020 roku zgłosiła organowi nadzorczemu naruszenie ochrony danych osobowych. W zgłoszeniu naruszenia wskazano, że doszło do nieuprawnionego „skopiowania danych” klientów administratora, a zdarzenie jest związane z faktem wprowadzenia zmiany w systemie pełniącym rolę archiwum cyfrowego dokumentów i informacji na temat klientów. Zmianę zmierzającą do poprawy wydajności usługi miał przeprowadzać na polecenie administratora dostawca usługi archiwum, podmiot przetwarzający PIKA Spółka z o.o. i polegała ona na utworzeniu oraz instalacji dodatkowej bazy danych klientów administratora danych. Zgłoszone naruszenie dotyczyć miało danych osobowych ponad 100 tysięcy osób oraz obejmować szereg danych zawartych w skopiowanej przez nieuprawnione podmioty bazie, w tym imiona i nazwiska, adresy zamieszkania, numery PESEL, numery dokumentów tożsamości, adresy poboru, numery telefonów, czy też szczegóły zawartych umów z odbiorcami energii.
Po stwierdzeniu naruszenia Administrator zrezygnował z powiadomienia osób, których dane dotyczą o naruszeniu ochrony danych osobowych. Z uwagi na szeroki zakres ujawnionych danych klientów w opinii organu nadzorczego wystąpiło wysokie ryzyko naruszenia praw lub wolności osób fizycznych, stąd organ skierował do administratora wystąpienie, w którym zwrócił się o podjęcie stosownych działań w szczególności mających na celu niezwłoczne zawiadomienie osób, których dane dotyczą, o naruszeniu ich danych osobowych i przekazanie tym osobom zaleceń odnośnie zminimalizowania potencjalnych negatywnych skutków zaistniałego naruszenia. Administrator w odpowiedzi na pismo PUODO poinformował o dokonaniu zawiadomienia osób, których dotyczyło naruszenie. W swoich wyjaśnieniach wskazał, że ujawnione zostały dane łącznie 120 428 osób, z czego o naruszeniu należało zawiadomić 95 711 osób, zaś pozostała liczba to klienci biznesowi oraz osoby zmarłe.
W następstwie zgłoszonego przez administratora naruszenia oraz złożonych wyjaśnień w przedmiocie zgłoszenia naruszenia, PUODO wszczął postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych.
Główne zarzuty
W efekcie przeprowadzonego postępowania administracyjnego na podstawie zgromadzonych dowodów PUODO zidentyfikował nieprawidłowości tak po stronie spółki Fortum Marketing and Sales Polska S.A., jak i spółki PIKA Sp. z o.o.
Głównym zarzutem PUODO podniesionym w decyzji wobec administratora danych był brak weryfikacji podmiotu przetwarzającego dane na jego zlecenie.
Administrator przed naruszeniem nie realizował prawa kontroli, o którym mowa w art. 28 ust. 3 lit. h) RODO, pod kątem zapewnienia przez procesora środków wymaganych w celu zapewnienia bezpieczeństwa przetwarzania. Nie egzekwował od PIKA Sp. z o.o. realizacji postanowień łączących ich umów, nie stosował się do własnej praktyki wdrażania zmian w środowisku IT opartej o wewnętrzne regulacje oraz nie weryfikował podmiotu przetwarzającego w zakresie prowadzonych działań mających na celu usprawnienie funkcjonowania usługi. Zdaniem organu, pomimo zawartej umowy z podmiotem przetwarzającym, przyjęcia odpowiednich wewnętrznych regulacji oraz posiadania wiedzy w zakresie sposobu realizacji zmian w systemach informatycznych, administrator nie realizował swoich obowiązków w zakresie nadzoru nad podmiotem przetwarzającym w trakcie wprowadzania modyfikacji w systemie informatycznym, co w konsekwencji skutkowało swobodą w działaniu podmiotu przetwarzającego. Nienadzorowany w swoim działaniu podmiot przetwarzający dokonywał wdrożenia zmian w systemie informatycznym bez uprzedniego odpowiedniego przetestowania zastosowanych zabezpieczeń oraz zasilił rzeczywistymi danymi osobowymi klientów dodatkową bazę danych, w fazie testowej wdrażanego rozwiązania.
Co ważne, organ nadzorczy podkreślił, że sam fakt podpisania umowy powierzenia przetwarzania danych osobowych nie jest wystarczający, aby uznać, że administrator odpowiednio zweryfikował podmiot przetwarzający pod kątem spełnienia przez niego wymogów wynikających z RODO. Z obowiązku przeprowadzenia stosownej oceny podmiotu przetwarzającego nie może zwolnić również administratora fakt wieloletniej współpracy i korzystanie z usług konkretnego podmiotu przetwarzającego przed rozpoczęciem stosowania przepisów RODO, tj. przed 25 maja 2018 roku.
Z kolei podmiotowi przetwarzającemu PUODO zarzucił zastosowanie środków technicznych i organizacyjnych nieodpowiadających w wystarczającym stopniu wymogom określonym w art. 32 ust. 1 i 2 RODO. Poszczególne etapy realizacji zmian dla zgłoszonego przez administratora problemu z wydajnością usługi nie odbywały się na podstawie ściśle określonych procedur. W trakcie procesu dokonywania zmian w systemie użyte zostały rzeczywiste dane osobowe klientów administratora, a skuteczność zastosowanych zabezpieczeń nie została przetestowana przed przekazaniem do Fortum Marketing and Sales Polska S.A. zmian w ww. systemie mających rozwiązać problem z jego wydajnością. Pracownik spółki PIKA Sp. z o.o. odpowiedzialny za konfigurację nowego serwera nie przeprowadził testów bezpieczeństwa, w tym w zakresie zapewnienia bezpiecznego kanału komunikacji pomiędzy serwerami służącymi do przetwarzania danych osobowych przed migracją danych ze starego serwera należącego do administratora na nowo utworzony serwer. Podkreślono także, że procesor nie wypełnił obowiązków wynikających z umowy powierzenia przetwarzania danych osobowych, w której zobowiązał się m.in. do wdrożenia pseudonimizacji danych.
W konsekwencji, w ocenie polskiego organu nadzorczego zawinił zarówno administrator, jak i podmiot przetwarzający. Administrator nie wdrożył odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych oraz nie zweryfikował, czy podmiot przetwarzający zapewnia odpowiednie gwarancje ich wdrożenia. Natomiast podmiot przetwarzający poprzez brak wdrożenia odpowiednich środków technicznych i organizacyjnych nie zapewnił natomiast odpowiedniego zabezpieczenia danych osobowych i ich poufności.
Rekordowa kara za naruszenie RODO
Na wysokość rekordowo wysokiej kary pieniężnej nałożonej na administratora wpływ miały przede wszystkim znaczna waga, poważny charakter naruszenia, szeroki zakres danych objętych naruszeniem, a także wysoki stopień odpowiedzialności administratora za naruszenie. W ocenie PUODO kara w wymierzonej wysokości będzie skuteczna i odstraszająca na przyszłość, powodując, iż administrator celem uniknięcia kolejnych sankcji zwróci należytą uwagę na przetwarzanie danych osobowych przy pomocy podmiotu przetwarzającego.
Na marginesie można też zauważyć, że z każdą kolejną decyzją administracyjną widoczne jest coraz odważniejsze podejście polskiego organu nadzorczego do miarkowania kar. Przykładów wysokich kar, które mogą stanowić pewien punkt odniesienia dla PUODO dostarcza także orzecznictwo organów nadzorczych innych krajów Unii Europejskiej. Każdy organ nadzorczy ma wprawdzie swobodę decyzji w zakresie wymiaru kary, ponieważ rozstrzygnięcia mają charakter indywidualny i konkretny, niemniej jednak jednolitość podejścia do miarkowania kar jest wysoce pożądana, zważywszy na bezpośredni skutek RODO oraz adresowane do organów nadzorczych państw, na których terenie obowiązuje RODO wytyczne w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów RODO[3]. Jak wskazuje się we wspomnianych wytycznych „ Motyw 11 RODO wyjaśnia, że równorzędny stopień ochrony danych osobowych w Unii wymaga m.in. równorzędnych uprawnień w zakresie monitorowania i egzekwowania przepisów o ochronie danych osobowych oraz równorzędnych kar za naruszenia tych przepisów w państwach członkowskich”.
Podsumowując, w analizowanej decyzji dobitnie podkreślone zostało to, jak istotne jest dokonywanie przez administratorów rzetelnej weryfikacji podmiotów przetwarzających, a wysokość wymierzonej sankcji tym bardziej skłania do nakierowania uwagi administratorów na baczniejszą selekcję podmiotów przetwarzających, którym zlecane są usługi. Rozstrzygnięcie PUODO pokazuje, że obowiązek weryfikacji procesorów ma wymiar rzeczywisty i nie sprowadza się li tylko do formalnego zawarcia umowy powierzenia przetwarzania danych osobowych.
[1] https://www.uodo.gov.pl/decyzje/DKN.5130.2215.2020.
[2] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).
[3] Wytyczne Grupy Roboczej art. 29 w sprawie stosowania i ustalania administracyjnych kar pieniężnych do celów rozporządzenia nr 2016/679, WP 253.
Z tej samej kategorii
Kategorie
