Słone kary za dane osobowe, również dla stowarzyszeń i drobnych przedsiębiorców. UODO nie próżnuje

Urząd Ochrony Danych Osobowych stał się postrachem przedsiębiorców, również tych najmniejszych. Nic dziwnego - niedopełnienie obowiązków RODO (rozporządzenie o ochronie danych osobowych) może skutkować naprawdę wysokimi karami finansowymi. Za co można narazić się UODO?

Pan B.W., prowadzący działalność gospodarczą, organizował konferencję, na którą przygotowano listę uczestników zawierającą dane osobowe: personalia, adresy e-mail, numery telefonów, miejsca zatrudnienia oraz dane o stanie zdrowia. Niestety, lista została przez pomyłkę przesłana nieuprawnionej osobie, a baza danych nie była szyfrowana. Prezes UODO, po otrzymaniu zgłoszenia od podmiotu trzeciego, uznał to za poważne naruszenie ochrony danych osobowych i nałożył na przedsiębiorcę karę w wysokości 9 903 zł. „Kara miała charakter ostrzegawczy”, ale bolesna „aby skutecznie zniechęcić do podobnych zaniedbań w przyszłości”.

Inny przypadek dotyczył spółki z o.o. z siedzibą w Krakowie, której działalność skupiała się na sprzedaży detalicznej i usługach pośrednictwa finansowego. Jeden z klientów złożył skargę do UODO na nieuprawnione udostępnienie jego numeru telefonu podmiotom trzecim. Mimo kilkukrotnych prób nawiązania kontaktu, spółka nie odpowiedziała na wezwania urzędu do wyjaśnienia sprawy. Tym razem więc zasądzono wyższą karę 18 864 zł, uznając, że naruszenie było wynikiem zaniedbania, a brak współpracy z urzędem tylko pogorszył sytuację.

Problemy mogą mieć również parafie. O działaniach jednej z nich powiadomiono UODO – poszło o podpisy pod pod projektem ustawy „StopLGBT”. Karty z danymi osobowymi obywateli, którzy poparli projekt ustawy,„leżą sobie spokojnie na ołtarzach bocznych, a w tygodniu na stoliku z prasą katolicką pod chórem” - napisał autor doniesienia. „Każdy może je sfotografować, a nawet bez najmniejszego problemu wynieść z kościoła. A tam są dane wrażliwe, bo przecież ujawniają także konkretny światopogląd i wyznanie. Dane wrażliwe osób wystawione są na niczym nieograniczoną dostępność. Mimo wezwań, komitet zbierający podpisy nie dostarczył sprawozdania finansowego i nie współpracował z UODO, co wpłynęło na wysokość kary - 10 913 zł.

Pani K.W., prowadząca jednoosobową działalność gospodarczą, zgłosiła do UODO kradzież danych osobowych swoich klientów z laptopa. Przestępca, korzystając z aplikacji zdalnego dostępu, pobrał dokumenty zawierające imiona, nazwiska, adresy e-mail, numery telefonów, a nawet numery PESEL.

Mimo otrzymania informacji o konieczności zgłoszenia naruszenia ochrony danych osobowych, Pani K.W. nie podjęła żadnych działań w tej sprawie. Prezes UODO, uznając brak reakcji za poważne uchybienie, nałożył karę w wysokości 11 tys. zł, podkreślając, że choć firma jest mała, odpowiedzialność za ochronę danych pozostaje taka sama, jak w przypadku większych podmiotów.

Stowarzyszenie „Maraton” z Gorlic przypadkowo opublikowało na swojej stronie internetowej listę uczestników zawodów sportowych zawierającą adresy e-mail i daty urodzenia. Choć zamieszczenie niektórych danych było uzasadnione – zdaniem urzędu - zakres udostępnionych informacji przekroczył to, co było konieczne. Prezes UODO uznał to za naruszenie zasad minimalizacji danych i nałożył karę w wysokości 916 zł.

Res-Gastro M. Gaweł Sp. k., firma prowadząca działalność gastronomiczną, zgłosiła incydent zagubienia pendrive'a, który zawierał częściowo zaszyfrowane dane osobowe pracownika. Ponieważ dane nie były w pełni chronione, incydent został uznany za naruszenie ochrony danych osobowych. Prezes UODO nałożył na firmę karę w wysokości 40 000 zł.