Kategorie

Podmiot sektora publicznego ukarany za naruszenie RODO

Dorota Echaust-Przybytniak
Deputy Legal Director, RK RODO
Kancelaria RK Legal
Od 13 lat wspieramy biznes naszych klientów
Podmiot sektora publicznego ukarany za naruszenie RODO
Podmiot sektora publicznego ukarany za naruszenie RODO
Prezes UODO nałożył karę w wysokości 40 tys. zł na Burmistrza Aleksandrowa Kujawskiego za nieprzestrzeganie zasad przetwarzania danych osobowych określonych w RODO. To pierwsza kara nałożona na podmiot z sektora publicznego.

Brak umów powierzenia przetwarzania danych

Jednym z powodów nałożenia kary był fakt przekazywania danych osobowych podmiotom przetwarzającym bez zawarcia stosownych umów powierzenia przetwarzania danych osobowych. Według stanu faktycznego sprawy umowa taka nie została zawarta z firmą przechowującą na swoich serwerach informacje zgromadzone w zasobach Biuletynu Informacji Publicznej (BIP) Urzędu Miejskiego oraz z firmą, która dostarczała oprogramowanie do stworzenia BIP i świadczyła obsługę serwisową BIP.

Tym samym, w ocenie Prezesa UODO doszło do naruszenia art. 28 ust. 3 RODO, który obliguje do zawierania stosownych umów powierzenia w przypadku, gdy dochodzi do przekazania danych osobowych podmiotom świadczącym usługi na rzecz administratora danych. W konsekwencji udostępnienia danych osobowych bez podstawy prawnej naruszone zostały również podstawowe zasady RODO – zasada przetwarzania danych zgodnie z prawem oraz zasada poufności.

Braki i błędy w procedurach

Postępowanie kontrolne przeprowadzone w Urzędzie Miejskim wykazało także brak w procedurach wewnętrznych Urzędu Miejskiego uregulowań dotyczących przetwarzania danych osobowych w BIP, przeglądu zasobów dostępnych w BIP pod kątem ich aktualności i celowości publikacji oraz ustalenia okresów retencji tych danych. Zgodnie z RODO jeśli w przepisach prawa powszechnie obowiązującego nie został wskazany dopuszczalny okres przechowywania danych, to administrator powinien samodzielnie wyznaczyć taki okres kierując się zasadą adekwatności danych osobowych do celu przetwarzania. Uchybienie w tym zakresie skutkowało naruszeniem zasady ograniczenia przechowywania.

Kolejne uchybienie dotyczyło braku kopii zapasowych z nagrań sesji Rady Miejskiej w zasobach własnych Urzędu Miejskiego. Rozwiązanie przyjęte przez Urząd Miejski polegało na udostępnieniu nagrań w sesji Rady Miejskiej w serwisie YouToube, natomiast na stronie BIP znajdował się jedynie link z odesłaniem do tej strony. Takie podejście zostało zakwestionowane przez UODO ze względu na brak odpowiednich środków technicznych i organizacyjnych zabezpieczających dane osób fizycznych pochodzących z nagrań sesji Rady Miejskiej.

W toku postępowania kontrolnego przeprowadzonego w Urzędzie Miejskim stwierdzono także, że publikacja nagrań z sesji Rady Miejskiej w serwisie YouToube nie była poprzedzona analizą ryzyka przez co naruszone zostały zasada integralności i poufności oraz zasada rozliczalności.

Następne ze stwierdzonych naruszeń związane było ze sposobem prowadzenia rejestru czynności przetwarzania. Zakwestionowane zostały niekompletne wpisy w rejestrze m.in. w zakresie list odbiorców danych, a także brak wskazania terminu usunięcia danych.

Polecamy: INFORLEX Biznes

NOWOŚĆ na Infor.pl: Prenumerata elektroniczna Dziennika Gazety Prawnej KUP TERAZ!

Okoliczności nałożenia kary i wniosku z niej płynące

Uzasadniając swoją decyzję o nałożeniu kary pieniężnej Prezes UODO powołał się na umyślny charakter naruszenia i podkreślił brak współpracy ze strony administratora danych, który nie podjął działań zmierzających do usunięcia uchybień w trakcie prowadzonych czynności kontrolnych, ani po ich zakończeniu. Administrator nie podjął też żadnych działań minimalizujących materializację ww. ryzyk w przyszłości, co w ocenie organu nadzoru przemawiało za brakiem możliwości odstąpienia od nałożenia kary pieniężnej i brakiem przesłanek uzasadniających obniżenie jej wysokości.

Poza karą pieniężną Prezes Urzędu w przedmiotowej decyzji nakazał administratorowi dostosowanie operacji przetwarzania danych osobowych do przepisów RODO w terminie 60 dni od dnia, w którym decyzja stanie się ostateczna.

Z treści powyższej decyzji można wyciągnąć następujące wnioski: 

  • Administrator w każdym przypadku udostępnienia danych powinien zbadać, czy może wykazać podstawę prawną takiego działania np. czy posiada zawartą umowę powierzenia przetwarzania danych z podmiotem, któremu udostępnia dane. Zasada zgodności przetwarzania danych osobowych z prawem, czyli spełnienie przynajmniej jednej z przesłanek legalności przetwarzania danych osobowych wskazanych w art. 6 ust. 1 RODO nie jest żadnym novum (takie były również wymogi starej ustawy o ochronie danych osobowych) i stanowisko organu nadzoru w tej kwestii jest niezmienne od lat. Zatem udostępnienie danych osobowych bez zawarcia stosownej umowy powierzenia przetwarzania danych i wobec braku jakiejkolwiek innej przesłanki legalizującej takie postępowanie niewątpliwie przemawia na niekorzyść administratora danych i stanowi naruszenie zasad przetwarzania danych zawartych w RODO.
  • Rzetelność prowadzenia rejestrów czynności przetwarzania danych osobowych jest jednym z powtarzających się elementów, które badane są w trakcie kontroli przeprowadzanych przez organ nadzoru. Nie wystarczy więc stworzenie jakiegokolwiek rejestru czynności przetwarzania i wykazanie się przed organem posiadaniem takiego rejestru. Oczekiwania nadzorcze wobec administratorów danych są takie, że rejestr powinien spełniać określone kryteria m.in. powinien zawierać listę wszystkich odbiorców danych oraz planowane okresy usunięcia danych.
  • Obowiązek przeprowadzenia analizy ryzyka przetwarzania danych osobowych, w szczególności dla nowych procesów lub procesów wykorzystujących rozwiązania informatyczne i wdrożenie odpowiednich środków organizacyjnych i technicznych w związku z przetwarzaniem danych osobowych
  • Wdrożenie odpowiednich środków organizacyjnych i technicznych, które zapewnią, że dane osobowe będą przetwarzane zgodnie z prawem, merytorycznie poprawne adekwatne do celów pozyskania oraz odpowiednio zabezpieczone, by ich przetwarzanie nie naruszało ochronę praw i wolności osób fizycznych. Administrator realizuje obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw i wolności osób fizycznych (w tym prawdopodobieństwo wystąpienia naruszenia i jego wagę). To już kolejna decyzja Prezesa UODO nakładająca na administratora danych zobowiązanie zastosowania „odpowiednich środków”, przy czym decyzja ta nie precyzuje jakie to powinny być środki. Tym samym nadal istnieje ryzyko, że administrator danych wykonując zalecenia zawarte w niniejszej decyzji zastosuje środki, które w ocenie organu nadal będą niewystarczające.
  • UODO zwraca uwagę na aktywną współpracę administratora w trakcie prowadzonej kontroli, jak i po jej zakończeniu, a także na proponowane przez administratora mechanizmy zabezpieczające przed materializacją tych samych ryzyk w przyszłości. Jednocześnie analiza kolejnych decyzji Prezesa UODO wykazuje, że nawet modelowa współpraca administratora danych z organem nadzoru nie gwarantuje administratorowi uniknięcia kary pieniężnej. Może również zdarzyć się tak, że decyzja organu nadzoru nakazująca przywrócenie do stanu zgodnego z prawem może okazać się dla administratora bardziej dotkliwa pod względem finansowym, szczególnie jeśli jest związana z koniecznością wprowadzenia zmian w systemach informatycznych administratora danych, niż sama kara pieniężna.

Pełną treść decyzji mogą Państwo znaleźć tutaj: https://uodo.gov.pl/decyzje/ZSPU.421.3.2019

Dorota Echaust-Przybytniak, Deputy Legal Director, RK RODO

Chcesz dowiedzieć się więcej, sięgnij po naszą publikację
Umowy o pracę – zawieranie i rozwiązywanie
Umowy o pracę – zawieranie i rozwiązywanie
Tylko teraz
Czy ten artykuł był przydatny?
tak
nie
Dziękujemy za powiadomienie
Jeśli nie znalazłeś odpowiedzi na swoje pytania w tym artykule, powiedz jak możemy to poprawić.
UWAGA: Ten formularz nie służy wysyłaniu zgłoszeń . Wykorzystamy go aby poprawić artykuł.
Jeśli masz dodatkowe pytania prosimy o kontakt

Komentarze(0)

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code
    Sektor publiczny
    1 sty 2000
    25 wrz 2021
    Zakres dat:
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail

    Whistleblowing – co z ustawą?

    Whistleblowing – co z ustawą? Czego nie wiemy o ustawie wdrażającej dyrektywę o sygnalistach? Czy warto na nią czekać?

    Zmiany dla nauczycieli - godziny karciane

    Godziny karciane wrócą do szkół? Zdaniem nauczycieli dojdzie do tego poprzez zwiększenie czasu pracy. Propozycje zmian przedstawiło MEiN.

    Co się musi znaleźć w aktach budynku?

    Dokumentacja techniczna budynku jest bardzo ważna. Przedstawiamy podstawowe informacje na jej temat i wyjaśniamy, czy może ona zostać odtworzona.

    6 dla nauczyciela - propozycje MEiN

    6 dla nauczyciela - propozycje MEiN. Ministerstwo Edukacji i Nauki przedstawiło propozycje zmian dla nauczycieli, w tym podwyżek wynagrodzeń. Nauczyciele mają jednak pracować więcej.

    Do 8 lat więzienia za zakażenie koronawirusem?

    Zakażenie koronawirusem. Wiceminister sprawiedliwości zapowiada wysokie kary, takie jak np. za zakażenie wirusem HIV. Sprawcy może grozić nawet 8 lat więzienia.

    Awans zawodowy nauczycieli - zmiany

    Awans zawodowy nauczycieli - zmiany. Zmniejszenie liczby stopni awansu zawodowego, egzamin na mianowanie oraz zmiany w urlopach dla nauczycieli - to niektóre propozycje MEiN.

    Podwyżki dla nauczycieli od 1 września 2022 r.

    Podwyżki dla nauczycieli od 1 września 2022 r. - ile wyniosą? Ministerstwo Edukacji i Nauki przedstawiło propozycję wynagrodzeń. Nauczyciel dyplomowany zarobi nawet 7750 zł.

    Trzecia dawka szczepionki na COVID-19

    Trzecia dawka szczepionki na COVID-19 – dla kogo? Jakim preparatem będzie można się zaszczepić?

    Darmowe przejazdy komunikacją w Dzień bez Samochodu - 22 września

    22 września w Dzień bez Samochodu darmowe przejazdy komunikacją zbiorową w Warszawie i w wielu innych miastach.

    Polski Ład - dochody gmin w 2022 r.

    Polski Ład. Wiceminister Finansów Sebastian Skuza zapewnia, że żadna gmina w 2022 nie będzie miała mniejszych dochodów niż prognozowała przed Polskim Ładem.

    Wynagrodzenia i zatrudnienie w samorządach

    Wynagrodzenia w samorządach - czy będą podwyżki w 2022 roku? Czy spodziewana jest redukcja etatów w urzędach?

    Stan wyjątkowy - do kiedy?

    Stan wyjątkowy - do kiedy? Czy stan nadzwyczajny przy granicy polsko-białoruskiej zostanie przedłużony?

    Podwyżki cen za wodę i ścieki 2021-2024

    Podwyżki cen za wodę i ścieki. Wiceszef Wód Polskich poinformował, że do regulatora trafiło ok. 2,6 tys. wniosków taryfowych od przedsiębiorstw wodno-kanalizacyjnych. W ponad 90 proc. przypadków przedsiębiorstwa zawnioskowano o podwyżki cen za wodę i ścieki. Propozycje nowych taryf są składane na trzy lata (2021-2024).

    4 fala COVID - kiedy lockdown?

    4 fala COVID - kiedy lockdown? Minister Zdrowia poinformował w jakiej sytuacji rząd będzie wprowadzał obostrzenia.

    Program Poznaj Polskę - do kiedy nabór wniosków?

    Program Poznaj Polskę - do kiedy nabór wniosków na dofinansowanie do wycieczek szkolnych? Program cieszy się bardzo dużym zainteresowaniem, są dodatkowe środki.

    Protest medyków 2021 [PODCAST]

    Protest medyków - jakie są postulaty protestujących? Jak wygląda obecnie praca w służbie zdrowia? Na te pytania, w rozmowie z Martą Zdanowską (Infor.pl) odpowiada ratownik medyczny, Jan Świtała. Zapraszamy do wysłuchania najnowszego podcastu "DGPtalk: Z pierwszej strony".

    Laboratoria Przyszłości - miliard na wyposażenie dla szkół

    Laboratoria Przyszłości - rusza największa rządowa inwestycja w nowoczesną edukację. Na co będzie można uzyskać wsparcie z programu?

    Whistleblowing – stan gotowości sektora publicznego

    Whistleblowing. Zostały trzy miesiące dni do wdrożenia systemów dla sygnalistów przez podmioty prawne w sektorze publicznym, a więc i jednostek samorządu terytorialnego oraz podmioty w sektorze prywatnym. Do dnia dzisiejszego, pomimo upływu blisko 22 miesięcy od dnia publikacji Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii, nie pojawił się nawet projekt ustawy implementującego ww. Dyrektywę do polskiego porządku prawnego.

    Brakuje nauczycieli - czy prawo do nauki jest zagrożone?

    Prawo do nauki może być zagrożone przez brak nauczycieli.

    Do kiedy wniosek o 300+?

    Wniosek o 300+ wciąż można złożyć. Do kiedy ZUS przyjmuje wnioski o "Dobry start" w 2021 r.?

    "Dla lasu, dla ludzi" - kampania społeczna Lasów Państwowych

    Lasy Państwowe przygotowały kampanię społeczną "Dla lasu, dla ludzi". Jakie są cele kampanii?

    Zaświadczenie o kontynuowaniu nauki do ZUS - ważny termin

    Zaświadczenie o kontynuowaniu nauki do ZUS to ważny dokument dla uczniów i studentów pobierających rentę rodzinną. Do kiedy należy go złożyć?

    Środki dla samorządów na działania edukacyjne

    Samorządy do 17 września 2021 r. mają otrzymać środki z rezerwy części oświatowej subwencji ogólnej na działania edukacyjne.

    Whistleblowing – czemu sygnaliści nie zgłaszają naruszeń?

    Whistleblowing. Kluczowym testem dla systemów będzie to czy wpłyną zgłoszenia od sygnalistów i jak na nie zareagujemy. Ilu pracowników jest gotowych zgłosić nadużycie w pracy? Dlaczego pracownicy nie powiadamiają swoich pracodawców o nadużyciach w pracy?

    Stan wyjątkowy w Polsce 2021 - czy jest zgodny z prawem? [PODCAST]

    2 września 2021 na części terytorium Polski wprowadzono stan wyjątkowy. Jest to odpowiedź polskich władz na, trwający od kilku tygodni, kryzys uchodźczy na granicy z Białorusią. Co to właściwie oznacza dla obywateli? Czy działania rządu są zgodne z prawem? Te kwestie w rozmowie z Martą Zdanowską (Infor.pl) wyjaśnia mec. Katarzyna Gajowniczek-Pruszyńska. Zapraszamy do wysłuchania najnowszego podcastu "DGPtalk: Z pierwszej strony".