Prezes UODO w natarciu – wnioski z ostatnich kar

Obserwując ostatnią aktywność Urzędu Ochrony Danych Osobowych (UODO), trudno oprzeć się wrażeniu, że organ nadzorczy zintensyfikował swoje działania, czego przejawem są choćby trzy kary nałożone przez Prezesa UODO tylko w II połowie grudnia 2020 r., a w roku 2021 – na tę chwilę już 8, przy czym staje się normą, że co najmniej raz na parę tygodni UODO informuje o kolejnym ukaranym podmiocie.

Czego dotyczą te wszystkie kary? Czy istnieje jakiś schemat, według którego są nak0ładane, jakiś punkt wspólny, którego ustalenie pozwoli uniknąć popełnienia tych samych błędów? Okazuje się, że tak – tym, co rzuca się w oczy przy analizie kar, jest fakt, że aż 5 z nich dotyczyło naruszeń ochrony danych osobowych (sic!).

Kolejno dotyczyły one:

• Zbyt późnego poinformowania Prezesa UODO o naruszeniu (podmiot: P4 sp. z o.o. (sieć Play); kara: 100 tys. zł, kiedy: czerwiec 2021)
• Zbyt późnego zidentyfikowania naruszeń (Cyfrowy Polsat S.A.; 1 mln zł; maj 2021)
• Brak zgłoszenia naruszenia do Prezesa UODO (ENEA S.A., 136 tys. zł; kwiecień 2021)
• Niezapewnienie odpowiedniej poufności przetwarzania, co doprowadziło do naruszenia (Krajowa Szkoła Sądownictwa i Prokuratury; 100 tys. zł; luty 2021)
• Brak zgłoszenia naruszenia do Prezesa UODO oraz brak poinformowania osób, których naruszenie dotyczyło (Śląski Uniwersytet Medyczny; 25 tys. zł; styczeń 2021)

Każda z nich dotyczyła naruszeń ochrony danych, ale każda na trochę inny sposób. Sygnał ze strony UODO jest jednak wyraźny: Urząd bierze się za naruszenia, więc staraj się im zapobiegać, a jeśli już do nich dojdzie – prawidłowa obsługa może uchronić Cię od kary.

W większości z powyższych przypadków po stronie administratorów zawinił nieświadomy personel lub źle funkcjonujące procedury. Pamiętaj, że naruszenie ochrony danych osobowych musi zostać zgłoszone do Prezesa UODO w ciągu 72h od jego stwierdzenia. Czasu jest bardzo mało, stąd trzeba działać szybko – bez Ciebie Twoja organizacja często nie będzie miała nawet jak dowiedzieć się o naruszeniu.

Następnym razem, jak zorientujesz się, że korespondencję mailową zawierającą dane osobowe omyłkowo przesłałeś do niewłaściwego adresata lub poweźmiesz informację, że nadana przez Ciebie przesyłka z dokumentami została zagubiona – reaguj natychmiast i przekaż informację o zdarzeniu swojemu przełożonemu lub inspektorowi ochrony danych – zgodnie z procedurami przyjętymi w Twojej organizacji.