Trzy kary UODO i ich konsekwencje: RODO promocja się skończyła

Data 25 maja 2018 roku, to dzień, od którego przepisy RODO zaczęły funkcjonować w praktyce. Na początku Prezes Urzędu Ochrony Danych Osobowych (dalej: UODO) podchodził do naruszeń dość liberalnie. Na pierwszą karę UODO w kwocie 943 tys. zł czekaliśmy w Polsce 10 miesięcy. UODO podobnie jak większość innych europejskich regulatorów, na początku postawił przede wszystkim na edukację. Wszystko wskazuje jednak na to, że wchodzimy właśnie w nowy etap stosowania RODO w praktyce. Na zmianę wskazują trzy bardzo jednoznaczne decyzje, już nie tylko UODO, ale również WSA.

Prawo w akcji

RODO jest ogólnym aktem prawnym, w wielu obszarach podlegającym różnym interpretacjom. Do momentu wydania decyzji administracyjnych czy orzeczeń sądowych, trudno przewidzieć jednoznacznie, w którym kierunku pójdzie praktyka.

W mojej opinii, praktyka jest najcenniejszym źródłem informacji dla każdego Administratora Danych czy IOD. Pozwala przejść ze sfery dywagacji i dyskutowania o RODO, do strefy gdzie RODO naprawdę „się dzieje”.

Z jednej strony, decyzje sądów i UODO mogą trochę przytłaczać. Mogą budzić sprzeciw, bo nie zawsze się z nimi zgodzimy. Być może UODO przyjął inną interpretację niż ta, która do tej pory była podstawą naszego działania. Kary UODO są coraz wyższe i jest ich coraz więcej.

Z drugiej strony, uważna lektura uzasadnień decyzji, może być czymś co pozwoli nam uniknąć kary UODO w przyszłości. Daje nam ważny punkt odniesienia. Jeśli pełnimy funkcję IOD, możemy pokazać co dokładnie się może wydarzyć, jeśli rekomendowane przez nas rozwiązanie nie zostanie wdrożone.

Wybrałem dla Ciebie trzy, w mojej opinii, najważniejsze decyzje i dotyczące ich orzeczenia, z którymi warto się zapoznać.

Aleksandrów Kujawski – pierwsi w trzech konkurencjach!

Kara nałożona na Burmistrza Aleksandrowa Kujawskiego jest pierwsza w aż trzech aspektach. To pierwsza kara UODO nałożona na jednostkę administracji publicznej. Zgodnie z polską modyfikacją RODO, jednostki publiczne można ukarać maksymalnie do kwoty 100 tys. zł. Aleksandrów Kujawski ukarano kwotą 40 tys. zł, a więc relatywnie wysoką. To aż 40% górnego ustawowego limitu.

Burmistrz Aleksandrowa Kujawskiego jest także pierwszym Administratorem Danych w Polsce, ukaranym za brak umowy powierzenia! I to pomimo tego, że nie był on stroną umowy głównej. To bardzo istotny sygnał do wszystkich organizacji, które wciąż odwlekają podpisanie swoich umów powierzenia. To również jasny sygnał dla podmiotów pozostających w grupie kapitałowej. Spółka matka może być stroną umowy głównej, ale jej spółki córki muszą dopilnować tego, aby warunki powierzenia danych zostały zachowane.

I na koniec, decyzja względem Aleksandrowa Kujawskiego to pierwsza kara UODO, która wybroniła się przed Wojewódzkim Sądem Administracyjnym.

Nieco więcej informacji o ww. karze znajdziesz w naszym rejestrze kar UODO. Pełne omówienie kary znajdziesz też:

• na naszym kanale na YouTube – Czas na RODO ;
• w formie podcastów na: Spotify, Google Podcasts, SoundCloud, RSS.

Morele.net – najwyższa kara UODO zostaje

O decyzji w tej sprawie napisano bardzo dużo. Wysoka kwota kary UODO przyciągnęła uwagę mediów, nie tylko branżowych. My również szczegółowo opisaliśmy ten przypadek na naszym blogu. W telegraficznym skrócie – UODO nałożył karę w kwocie 2 830 410 zł za brak należytych zabezpieczeń w obszarze IT security. Brak adekwatnych zabezpieczeń był przyczyną wycieku danych osobowych na bardzo dużą skalę. Chodziło o nieco ponad 2 mln rekordów.

Spółka oczywiście odwołała się od niekorzystnej decyzji do Wojewódzkiego Sądu Administracyjnego. Jednak i w tym przypadku WSA uznał, że decyzja UODO pozostaje w mocy.

Kara UODO dla SGGW – czyli coś dla IOD i nie tylko

Trzecia z decyzji, wydana względem SGGW jest zdecydowanie najmniej medialna. Kara UODO jest relatywnie nieduża (50 tys. zł). Wyciek danych (ok. 100 tys. rekordów) też nie robi takiego wrażenia jak sprawa Morele.net. Dlaczego więc, w ogóle wspominam o tej decyzji UODO?

To pierwsza decyzja, w której UODO tak szczegółowo odniósł się do relacji IOD – Administrator Danych. Administrator Danych musi umożliwić IOD zapoznanie się z tym, co się aktualnie dzieje. IOD musi być wdrażany w bieżące i planowane procesy związane z ochroną danych osobowych.

Z własnego doświadczenia pamiętam sytuację sprzed kilku lat, kiedy jeszcze jako ABI, zostałem wdrożony w projekt budowy sklepu internetowego. Wszystko byłoby w jak najlepszym porządku, gdyby nie to, że o wszystkim dowiedziałem się… kiedy sklep już funkcjonował.

Takie sytuacje nie powinny mieć miejsca. Decyzja UODO tworzy przestrzeń dla Inspektorów Ochrony Danych i ułatwi skuteczną komunikację z Administratorem.

To także pierwsza decyzja, w której UODO zakwestionował sposób pełnienia funkcji IOD. Cenna wskazówka dla wszystkich IOD, mówiąca o tym, czego może oczekiwać od nich UODO.

Zminimalizuj ryzyko naruszenia RODO w Twojej organizacji – przeszkól zespół.

Zależy Ci na tym aby Twoi pracownicy otrzymali certyfikat i poznali praktyczną wiedzę z zakresu RODO zamiast nużących regułek?

Sprawdź nasze interaktywne szkolenia e-learningowe.

Sprawdź

Podsumowanie

Wskazane wyżej orzeczenia i decyzje niosą za sobą ważne konsekwencje praktyczne. Zamiast tradycyjnego podsumowania, tabela z wnioskami i działaniami, które warto podjąć w najbliższej przyszłości.