Ochrona danych osobowych przetwarzanych przez pracownika na prywatnym komputerze w celach służbowych to obowiązek pracodawcy jako administratora danych osobowych. Stanowisko takie przedstawił Wojewódzki Sąd Administracyjny w Warszawie, podtrzymując decyzję Prezesa UODO w sprawie nałożenia na Rzecznika Finansowego kary upomnienia.

Niezgłoszenie naruszenia ochrony danych było przyczyną nałożenia na Link4 administracyjnej kary pieniężnej w wysokości prawie 104 tys. zł. Sprawdzamy, jakie były okoliczności, w związku z którymi Prezes UODO ukarał ubezpieczyciela.

Brak reakcji na żądanie sprostowania danych osobowych może zakończyć się karą UODO. Upomnieniem za niespełnienie tego żądania ukarany został jeden z banków. Problemem było nie tylko niespełnienie żądania, ale też brak informacji na temat jego realizacji.

Brak właściwej reakcji na sprzeciw wobec marketingu bezpośredniego stał się przyczyną ukarania H&M. W związku z naruszeniem ochrony danych firma musi zapłacić równowartość ponad 28 tys. euro. Więcej na temat decyzji szwedzkiego organu nadzorczego w artykule.

Wojewódzki Sąd Administracyjny w Warszawie podtrzymał karę UODO w wysokości 1,6 mln zł w sprawie spółki Virgin Mobile. Dotyczyła ona naruszenia ochrony danych osobowych abonentów na dużą skalę. Karę zapłacić musi jej następca prawny – P4 sp. z o.o.

Chorwacja firma windykacyjna przetwarzała dane osobowe wielu dłużników, a mimo to nie wdrożyła odpowiednich środków bezpieczeństwa. Poza tym przetwarzane były też dane osobowe o zdrowiu – bez podstawy prawnej. Do tego firma nie informowała dłużników o tak szerokim zakresie przetwarzania danych. Liczne naruszenia ochrony danych złożyły się na karę w wysokości ponad 5 mln zł.

Organ antydopingowy, który publikuje w internecie dane osobowe sportowca na dopingu, nie narusza RODO. Publikacja danych osobowych takiego sportowca może mieć bowiem cel prewencyjny. Sprawa ta nie została jeszcze rozstrzygnięta przez Trybunał Sprawiedliwości UE, niemniej jednak wypowiedziała się o niej rzecznik generalna TSUE.

Prezes UODO ukarał upomnieniem spółkę, która ujawniła dane osobowe o zwolnieniu lekarskim pracownika swoim kontrahentom. Są to bowiem dane szczególnej kategorii. Nieuzasadnione było to przetwarzanie przez pracodawcę prywatnego numeru telefonu pracownika w czasie jego nieobecności.

Naczelny Sąd Administracyjny oddalił skargę kasacyjną spółki Bisnode od wyroku WSA w Warszawie. Podtrzymał tym samym stanowisko Urzędu Ochrony Danych Osobowych, według którego w przypadku danych osobowych pozyskiwanych z rejestrów publicznych należy spełnić obowiązek informacyjny RODO. Sprawa dotyczy pierwszej kary UODO wymierzonej w Polsce. Przedstawiamy przebieg całej sprawy.

Szwedzki organ nadzorczy ukarał ubezpieczyciela za doprowadzenie do wycieku danych osobowych około 650 tys. klientów. Wyciek był efektem braków w środkach bezpieczeństwach danych stosowanych przez firmę ubezpieczeniową. Te z kolei wynikały z nieprawidłowości, które zgodnie z regułą privacy by design można było usunąć jeszcze na etapie projektowania systemu informatycznego.

Upomnieniem dla firmy telekomunikacyjnej zakończyło się przetwarzanie danych osobowych byłego klienta w celu ewentualnego dochodzenia roszczeń lub obrony przed roszczeniami. Jak wskazał Prezes UODO okoliczności takie nie uzasadniają przetwarzania danych w realizacji uzasadnionego interesu administratora. Drugim z naruszeń było przetwarzanie danych osobowych po zakończeniu współpracy z klientem w korespondencji – bez zgody tego klienta.

Zgubienie świadectwa pracy lub innego dokumentu z akt osobowych rodzi na tyle wysokie ryzyko naruszenia praw i wolności podmiotów danych, że konieczne jest zgłoszenia naruszenia ochrony danych do Prezesa UODO. Nie ma tu znaczenia późniejsze znalezienie dokumentu (już w trakcie postępowania sądowego) jak i fakt, że ryzyko to się nie zmaterializowało. Stanowisko takie przedstawił Wojewódzki Sąd Administracyjny w Warszawie, oddalając skargę spółki na decyzję Prezesa UODO.

Nieodbieranie wezwań od Prezesa Urzędu Ochrony Danych Osobowych, brak odpowiedzi czy też niewyczerpujące wyjaśnienia – w każdym z tych przypadków administrator danych osobowych musi liczyć się z karą pieniężną. W samym 2023 r. Prezes UODO wymierzył 4 kary za brak współpracy (dwie z nich w czerwcu). Sprawdź, w czym przejawiał się brak współpracy z Prezesem UODO i jakich zachowań unikać, by zminimalizować ryzyko ukarania.

Kolejna kara za niewdrożenie odpowiednich środków bezpieczeństwa i brak ich regularnego testowania. Tym razem jedna ze spółek przyjęła rozwiązania, które okazały się niewystarczające przeciwko atakowi ransomware. Spółce zarzucono także m.in. brak regularnego testowania przyjętych rozwiązań Prezes UODO nałożył z tego tytułu karę w wysokości 47 tys. zł.

Szwedzki organ nadzorczy zakazał czterem firmom, w tym operatorowi telekomunikacyjnemu Tele2, przetwarzania danych osobowych z wykorzystaniem Google Analytics i transferem danych osobowych do USA. Wnioski płynące z orzeczenia IMY mogą mieć istotne znaczenie również dla polskich administratorów. Sprawdź, czy korzystanie z Google Analytics jest zgodne z RODO.