Atak ransomware doprowadził do utraty dostępu do danych osobowych pacjentów i pracowników. W ocenie Prezesa UODO przyczyną wycieku były zaniedbania w zakresie analizy ryzyka RODO i zabezpieczenia danych osobowych. W konsekwencji na placówkę medyczną nałożono karę pieniężną w wysokości 40 tys. zł. Szczegóły w artykule.

Wyciek danych osobowych wskutek ataku hakerskiego doprowadził do ukarania jednej ze spółek działających w branży medycznej. Kara wymierzona w wysokości 1,5 mln zł przez Prezesa Urzędu Ochrona Danych osobowych była wynikiem niewłaściwie przeprowadzonej analizy ryzyka RODO i nieprzestrzegania reguł przyjętych w wewnętrznej dokumentacji ochrony danych. Szczegóły w artykule.

Ponad 2,3 mln euro – tyle wyniosła kara wymierzona przez litewski organ nadzorczy dla Vinted UAB – operatora popularnej platformy sprzedażowej. Kara związana jest z brakiem realizacji praw podmiotów danych a mianowicie prawa do bycia zapomnianym oraz prawa dostępu do danych. Sprawa trafiła do litewskiego organu nadzorczego w wyniku skarg przekazanych przez Prezesa Urzędu Ochrony Danych Osobowych w 2021 i 2022 r.

Na żądanie Prezesa Urzędu Ochrony Danych Osobowych administrator musi udzielać wszelkich informacji niezbędnych do realizacji zadań organu nadzorczego. Potwierdził to Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 21 czerwca 2024 r. II SA/Wa 2216/23.

Udostępnianie danych osobowych pomiędzy powiązanymi spółkami nie jest wyłączone z regulacji RODO. Udostępnianie takich danych musi być oparte na jednej z podstaw z art. 6 lub 9 RODO. Brak takiej podstawy może skończyć się kara pieniężną, o czym w kwietniu 2024 r. dobitnie przekonała się czeska spółka.

PZU wskutek przetwarzania nieaktualnych danych osobowych ubezpieczonego doprowadził do jego wpisania do Krajowego Rejestru Długów BIG. Za naruszenie zasady prawidłowości ubezpieczyciel został ukarany upomnieniem przez Prezesa Urzędu Ochrony Danych Osobowych.

Prawie 11 tys. zł kary musi zapłacić Komitet Inicjatywy Ustawodawczej „Stop LGBT” za niezapewnienie bezpieczeństwa danych osobowych przetwarzanych w związku ze zbiórką podpisów w kościołach. Poznaj kulisy najnowszej kary UODO.

Pracownik jednej z firm gastronomicznych zgubił pendrive, na którym znajdowały się niezaszyfrowane dane osobowe innego pracownika. W ocenie Prezesa UODO zagrożenie wiążące się z naruszeniem można było zminimalizować. Zabrakło jednak odpowiedniej analizy ryzyka i wdrożenia adekwatnych środków bezpieczeństwa, a mianowicie szyfrowania danych. Więcej o najnowszej karze UODO dowiesz się z artykułu.

Stowarzyszenia nie są zwolnione z obowiązku zgłaszania naruszenia ochrony danych do Prezesa UODO. Przekonało się o tym jedno ze stowarzyszeń organizujących zawody sportowe. W wyniku działań wolontariusza ujawnione zostały dane osobowe uczestników tych zawodów. Organizator nie zawiadomił o tym organu nadzorczego, co skończyło się karą UODO.

Co oczywiste, najlepiej uczyć się na cudzych błędach. Warto zatem sięgnąć do orzecznictwa Prezesa Urzędu Ochrony Danych Osobowych ale też zagranicznych organów nadzorczych i wyciągnąć wnioski z naruszeń ukaranych administratorów. Przedstawiamy w związku z tym przegląd wybranych orzeczeń zagranicznych organów nadzorczych z 2023 i 2024 r.

Do przetwarzania danych osobowych konsumenta dochodzi już podczas rozmowy telefonicznej z nim. Przetwarzanie takie musi być oparte na jednej z podstaw z art. 6 RODO. Brak podstawy prawnej to prosta droga do kary pieniężnej, o czym przekonał się francuski sklep internetowy.

Zgoda na przetwarzanie danych osobowych o zdrowiu musi być wyraźna. Co za tym idzie, należy ją udokumentować. Stanowisko takie przedstawił Wojewódzki Sąd Administracyjny w Warszawie, rozpatrując skargę wspólników spółki zajmującej się odszkodowaniami na decyzję Prezesa UODO.

Kolejny bank z karą UODO za niezgłoszenie naruszenia ochrony danych. Tym razem administracyjną karę pieniężną w wysokości 78 tys. zł wymierzono Toyota Bank Polska S.A. Bank wprawdzie zgłosił naruszenie, ale ze znacznym opóźnieniem.

Brak zgłoszenia naruszenia ochrony danych był przyczyną nałożenia wysokiej kary pieniężnej przez Prezesa UODO na Santander Bank Polska S.A. Kara jest konsekwencją niezgłoszenia naruszenia ochrony danych polegającego na kradzieży przesyłki zawieranej dane osobowe. Decyzja UODO jest oczywiście nieprawomocna.

Nie wystarczy samo usunięcie danych osobowych na żądanie. Administrator musi także poinformować podmiot danych o tym usunięciu. Brak takiej informacji sam w sobie stanowi naruszenie RODO i może skutkować administracyjną karą pieniężną, o czym przekonały się popularne węgierskie linie lotnicze. Sprawa ma także polski wątek.