4 mln zł kary UODO dla mBanku za brak zawiadomienia podmiotów danych o naruszeniu

Opracowanie: Michał Kowalski

30 czerwca 2022 r. doszło do nieuprawnionego przekazania danych osobowych grupy klientów mBanku innemu podmiotowi. W efekcie dostęp do tych danych mógł uzyskać nieuprawniony odbiorca.

Możliwy wyciek był wynikiem pomyłki pracownika firmy przetwarzającej dane osobowe jako procesor względem banku. Dokumenty z danymi osobowymi klientów trafiły do innej instytucji finansowej. Wprawdzie dokumenty te zostały zwrócone do banku, ale – jak ustalono – doszło najpierw do otwarcia koperty.

Mimo istnienia takiego ryzyka bank zrezygnował z zawiadomienia poszkodowanych o naruszeniu ochrony danych. Bank nie przedstawił im też możliwych konsekwencji incydentu i propozycji środków zaradczych, nie podał też kontaktu do inspektora ochrony danych. Czynność ta nie została wykonana mimo zaleceń ze strony Prezesa UODO po zgłoszeniu do niego naruszenia ochrony danych.

W ocenie banku nie zaszły przesłanki zawiadomienia podmiotów danych o naruszeniu. mBank powołał się tu na tajemnicę bankową, wskazując, że była nią objęta także instytucja finansowa, do której trafiły dane osobowe. Bank podkreślił także, że instytucja ta ma status podmiotu zaufanego, a jej pracownicy oświadczyli, że nie są w posiadaniu kopii otrzymanych dokumentów.

Ze stanowiskiem tym nie zgodził się organ nadzorczy. Prezes UODO wskazał, że w ocenie ryzyka naruszenia praw i wolności osób fizycznych znaczenia nie ma status odbiorcy danych. Istotny natomiast także fakt stałej współpracy pomiędzy mBankiem a tą instytucją.

Na tej podstawie Prezes UODO uznał, że istniało bardzo wysokie ryzyko naruszenia praw i wolności osób fizycznych. Brak zawiadomienia o naruszenia pozbawił te osoby możliwości przeciwdziałania ewentualnym negatywnym skutkom naruszenia.

Dlaczego bankowi wymierzono tak wysoką karę (dokładnie 4 053 173 zł)? Otóż Prezes UODO wskazał, że w kontekście obrotów mBanku kara ta jest stosunkowo nieska, ponieważ stanowi jedynie 0,024% obrotów banku. Jednocześnie organ nadzorczy w wymiarze kary wziął pod uwagę wspomniane wysokie ryzyko naruszenia praw i wolności osób fizycznych. Zarzucił bankowi, że uchybienie świadczy o lekceważeniu praw podmiotów danych i „jest przejawem systemowej postawy (polityki) Banku”. Krytyce poddano założenie z góry, że współpracująca z bankiem instytucja jest zaufanym odbiorcą, a także brak zmiany stanowiska banku mimo zaleceń organu nadzorczego.