REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Podmiot sektora publicznego ukarany za naruszenie RODO

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Dorota Echaust-Przybytniak
Deputy Legal Director, RK RODO
RK Legal
Od 18 lat wspieramy biznes naszych klientów
Podmiot sektora publicznego ukarany za naruszenie RODO
Podmiot sektora publicznego ukarany za naruszenie RODO

REKLAMA

REKLAMA

Prezes UODO nałożył karę w wysokości 40 tys. zł na Burmistrza Aleksandrowa Kujawskiego za nieprzestrzeganie zasad przetwarzania danych osobowych określonych w RODO. To pierwsza kara nałożona na podmiot z sektora publicznego.

Brak umów powierzenia przetwarzania danych

Jednym z powodów nałożenia kary był fakt przekazywania danych osobowych podmiotom przetwarzającym bez zawarcia stosownych umów powierzenia przetwarzania danych osobowych. Według stanu faktycznego sprawy umowa taka nie została zawarta z firmą przechowującą na swoich serwerach informacje zgromadzone w zasobach Biuletynu Informacji Publicznej (BIP) Urzędu Miejskiego oraz z firmą, która dostarczała oprogramowanie do stworzenia BIP i świadczyła obsługę serwisową BIP.

REKLAMA

Tym samym, w ocenie Prezesa UODO doszło do naruszenia art. 28 ust. 3 RODO, który obliguje do zawierania stosownych umów powierzenia w przypadku, gdy dochodzi do przekazania danych osobowych podmiotom świadczącym usługi na rzecz administratora danych. W konsekwencji udostępnienia danych osobowych bez podstawy prawnej naruszone zostały również podstawowe zasady RODO – zasada przetwarzania danych zgodnie z prawem oraz zasada poufności.

Braki i błędy w procedurach

REKLAMA

Postępowanie kontrolne przeprowadzone w Urzędzie Miejskim wykazało także brak w procedurach wewnętrznych Urzędu Miejskiego uregulowań dotyczących przetwarzania danych osobowych w BIP, przeglądu zasobów dostępnych w BIP pod kątem ich aktualności i celowości publikacji oraz ustalenia okresów retencji tych danych. Zgodnie z RODO jeśli w przepisach prawa powszechnie obowiązującego nie został wskazany dopuszczalny okres przechowywania danych, to administrator powinien samodzielnie wyznaczyć taki okres kierując się zasadą adekwatności danych osobowych do celu przetwarzania. Uchybienie w tym zakresie skutkowało naruszeniem zasady ograniczenia przechowywania.

Kolejne uchybienie dotyczyło braku kopii zapasowych z nagrań sesji Rady Miejskiej w zasobach własnych Urzędu Miejskiego. Rozwiązanie przyjęte przez Urząd Miejski polegało na udostępnieniu nagrań w sesji Rady Miejskiej w serwisie YouToube, natomiast na stronie BIP znajdował się jedynie link z odesłaniem do tej strony. Takie podejście zostało zakwestionowane przez UODO ze względu na brak odpowiednich środków technicznych i organizacyjnych zabezpieczających dane osób fizycznych pochodzących z nagrań sesji Rady Miejskiej.

W toku postępowania kontrolnego przeprowadzonego w Urzędzie Miejskim stwierdzono także, że publikacja nagrań z sesji Rady Miejskiej w serwisie YouToube nie była poprzedzona analizą ryzyka przez co naruszone zostały zasada integralności i poufności oraz zasada rozliczalności.

Dalszy ciąg materiału pod wideo

Następne ze stwierdzonych naruszeń związane było ze sposobem prowadzenia rejestru czynności przetwarzania. Zakwestionowane zostały niekompletne wpisy w rejestrze m.in. w zakresie list odbiorców danych, a także brak wskazania terminu usunięcia danych.

Polecamy: INFORLEX Biznes

NOWOŚĆ na Infor.pl: Prenumerata elektroniczna Dziennika Gazety Prawnej KUP TERAZ!

Okoliczności nałożenia kary i wniosku z niej płynące

Uzasadniając swoją decyzję o nałożeniu kary pieniężnej Prezes UODO powołał się na umyślny charakter naruszenia i podkreślił brak współpracy ze strony administratora danych, który nie podjął działań zmierzających do usunięcia uchybień w trakcie prowadzonych czynności kontrolnych, ani po ich zakończeniu. Administrator nie podjął też żadnych działań minimalizujących materializację ww. ryzyk w przyszłości, co w ocenie organu nadzoru przemawiało za brakiem możliwości odstąpienia od nałożenia kary pieniężnej i brakiem przesłanek uzasadniających obniżenie jej wysokości.

Poza karą pieniężną Prezes Urzędu w przedmiotowej decyzji nakazał administratorowi dostosowanie operacji przetwarzania danych osobowych do przepisów RODO w terminie 60 dni od dnia, w którym decyzja stanie się ostateczna.

Z treści powyższej decyzji można wyciągnąć następujące wnioski: 

  • Administrator w każdym przypadku udostępnienia danych powinien zbadać, czy może wykazać podstawę prawną takiego działania np. czy posiada zawartą umowę powierzenia przetwarzania danych z podmiotem, któremu udostępnia dane. Zasada zgodności przetwarzania danych osobowych z prawem, czyli spełnienie przynajmniej jednej z przesłanek legalności przetwarzania danych osobowych wskazanych w art. 6 ust. 1 RODO nie jest żadnym novum (takie były również wymogi starej ustawy o ochronie danych osobowych) i stanowisko organu nadzoru w tej kwestii jest niezmienne od lat. Zatem udostępnienie danych osobowych bez zawarcia stosownej umowy powierzenia przetwarzania danych i wobec braku jakiejkolwiek innej przesłanki legalizującej takie postępowanie niewątpliwie przemawia na niekorzyść administratora danych i stanowi naruszenie zasad przetwarzania danych zawartych w RODO.
  • Rzetelność prowadzenia rejestrów czynności przetwarzania danych osobowych jest jednym z powtarzających się elementów, które badane są w trakcie kontroli przeprowadzanych przez organ nadzoru. Nie wystarczy więc stworzenie jakiegokolwiek rejestru czynności przetwarzania i wykazanie się przed organem posiadaniem takiego rejestru. Oczekiwania nadzorcze wobec administratorów danych są takie, że rejestr powinien spełniać określone kryteria m.in. powinien zawierać listę wszystkich odbiorców danych oraz planowane okresy usunięcia danych.
  • Obowiązek przeprowadzenia analizy ryzyka przetwarzania danych osobowych, w szczególności dla nowych procesów lub procesów wykorzystujących rozwiązania informatyczne i wdrożenie odpowiednich środków organizacyjnych i technicznych w związku z przetwarzaniem danych osobowych
  • Wdrożenie odpowiednich środków organizacyjnych i technicznych, które zapewnią, że dane osobowe będą przetwarzane zgodnie z prawem, merytorycznie poprawne adekwatne do celów pozyskania oraz odpowiednio zabezpieczone, by ich przetwarzanie nie naruszało ochronę praw i wolności osób fizycznych. Administrator realizuje obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw i wolności osób fizycznych (w tym prawdopodobieństwo wystąpienia naruszenia i jego wagę). To już kolejna decyzja Prezesa UODO nakładająca na administratora danych zobowiązanie zastosowania „odpowiednich środków”, przy czym decyzja ta nie precyzuje jakie to powinny być środki. Tym samym nadal istnieje ryzyko, że administrator danych wykonując zalecenia zawarte w niniejszej decyzji zastosuje środki, które w ocenie organu nadal będą niewystarczające.
  • UODO zwraca uwagę na aktywną współpracę administratora w trakcie prowadzonej kontroli, jak i po jej zakończeniu, a także na proponowane przez administratora mechanizmy zabezpieczające przed materializacją tych samych ryzyk w przyszłości. Jednocześnie analiza kolejnych decyzji Prezesa UODO wykazuje, że nawet modelowa współpraca administratora danych z organem nadzoru nie gwarantuje administratorowi uniknięcia kary pieniężnej. Może również zdarzyć się tak, że decyzja organu nadzoru nakazująca przywrócenie do stanu zgodnego z prawem może okazać się dla administratora bardziej dotkliwa pod względem finansowym, szczególnie jeśli jest związana z koniecznością wprowadzenia zmian w systemach informatycznych administratora danych, niż sama kara pieniężna.

Pełną treść decyzji mogą Państwo znaleźć tutaj: https://uodo.gov.pl/decyzje/ZSPU.421.3.2019

Dorota Echaust-Przybytniak, Deputy Legal Director, RK RODO

Zapisz się na newsletter
Śledź na bieżąco nowe inicjatywy, projekty i ważne decyzje, które wpływają na Twoje życie codzienne. Zapisz się na nasz newsletter samorządowy.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

REKLAMA

Sektor publiczny
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Koniec pobłażania dla agresji wobec lekarzy – nowe wytyczne Prokuratora Generalnego [PDF]

Wzrost liczby przypadków agresji wobec pracowników ochrony zdrowia skłonił Prokuratora Generalnego do wydania jednoznacznych wytycznych w sprawie prowadzenia postępowań karnych w takich sprawach. Naczelna Izba Lekarska z zadowoleniem przyjęła tę decyzję, podkreślając, że to efekt długofalowych działań środowiska lekarskiego na rzecz poprawy bezpieczeństwa.

Stanowisko NIL z 2023 r. ws. biorezonansu

W przestrzeni publicznej coraz częściej pojawiają się doniesienia o stosowaniu terapii biorezonansu magnetycznego – metody, która zyskuje popularność zarówno wśród zwolenników medycyny alternatywnej, jak i osób poszukujących niekonwencjonalnych sposobów leczenia różnych dolegliwości. Przypominamy stanowisko Rady Ekspertów Naczelnej Izby Lekarskiej z sierpnia 2023 r.

Nawet 80 km/h. Tak pędzą dzieciaki na hulajnogach

Coraz więcej dzieci trafia do szpitali z poważnymi urazami po wypadkach na elektrycznych hulajnogach – alarmuje Mateusz Struś asystent z Oddziału Neurochirurgii Dziecięcej, Dziecięcego Szpitala Klinicznego WUM. Jego zdaniem główną przyczyną jest nadmierna prędkość oraz brak kasków, a nieletni pacjenci często osiągają na własnych hulajnogach nawet 70–80 km/h.

Sześć wsi w Polsce stanie się miastem od początku 2026 roku. Wiemy już które

Od 1 stycznia 2026 r. roku w Polsce przybędzie sześć miast. Tak wynika z założeń projektu rozporządzenia Rady Ministrów w sprawie ustalenia granic niektórych gmin i miast, nadania niektórym miejscowościom statusu miasta oraz zmiany nazwy gminy (RD214), które zostały opublikowane 14 lipca 2025 r. w wykazie prac legislacyjnych rządu. Nastąpi też 6 zmian dotyczących ustalenia granic gmin, 9 zmian dotyczących ustalenia granic miast i jedna zmiana nazwy miasta.

REKLAMA

126 mln zł na lądowiska dla SOR. Rusza nabór na dofinansowanie z Funduszu Medycznego

Ministerstwo Zdrowia ogłosiło nowy konkurs w ramach Funduszu Medycznego: „Dotacja na modernizację lub budowę lądowisk dla śmigłowców przy szpitalnych oddziałach ratunkowych (SOR)”. Program ma na celu poprawę dostępności i bezpieczeństwa transportu lotniczego pacjentów w stanach zagrożenia życia. Szpitale będą mogły otrzymać nawet 97% dofinansowania na budowę lub modernizację lądowisk. Nabór wniosków rozpocznie się 31 lipca 2025 roku.

420 tys. osób otrzymało świadczenia w ramach renty wdowiej, wydano 51,3 tys. decyzji odmownych

Już blisko 420 tys., osób otrzymało rentę wdowią. Zakład Ubezpieczeń Społecznych wypłacił na ten cel ponad 1,4 mld zł brutto, z czego prawie 150 mln zł to kwota, o którą wzrosły wypłaty w związku ze zbiegiem świadczeń.

Kiedy kompleksowy remont linii średnicowej w Warszawie? Minister wskazał kluczowe terminy i zakres prac. Stację Warszawa Powiśle zastąpią dwa nowe przystanki osobowe

W dniu 9 lipca 2025 r. minister infrastruktury – w odpowiedzi na interpelację poselską – udzielił obszernych informacji odnośnie terminów i zakresu modernizacji kolejowej linii średnicowej w Warszawie. Okazuje się, że jako pierwsza (w latach 2026-2029) będzie realizowana część wschodnia linii średnicowej (na praskim brzegu Wisły). Natomiast w drugim etapie (po 2030 r.) zmodernizowana będzie część zachodnia: od stacji Warszawa Zachodnia (bez samej stacji), przez stacje Warszawa Ochota, Warszawa śródmieście do ul. Wybrzeże Szczecińskie. Co ważne, w tym drugim etapie powstaną dwie nowe stacje w rejonie ronda de Gaulle’a oraz pomiędzy ul. Solec i Wybrzeże Kościuszkowskie a obecny przystanek Warszawa Powiśle zostanie na stałe wyłączony z użytkowania. Także w drugim etapie modernizacji zostanie przebudowany tunel średnicowy i most średnicowy na Wiśle.

Rolnicy dostaną własnego rzecznika? PSL składa projekt ustawy

Klub Polskiego Stronnictwa Ludowego złożył w Sejmie projekt ustawy, której głównym celem jest powołanie nowej instytucji – Rzecznika Praw Rolników. Funkcję tę miałby każdorazowo pełnić Prezes Krajowej Rady Izb Rolniczych, co – według autorów projektu – ma zagwarantować niezależność i bliskość tej roli wobec środowisk rolniczych.

REKLAMA

Odwołanie od decyzji administracyjnej. Najważniejsze informacje

Wiele życiowych spraw załatwianych jest decyzją administracyjną. Może to być np. zameldowanie na pobyt stały lub czasowy, przyznanie lub odmowa zasiłku rodzinnego, cofnięcie świadczeń z MOPS, przyjęcie lub nieprzyjęcie dziecka do przedszkola albo szkoły, określenie wysokości podatku od nieruchomości, pozwolenie na budowę, zajęcie pasa drogowego, zasiłków z tytułu choroby i macierzyństwa, świadczeń z ubezpieczeń społecznych.

Coraz więcej Polaków regularnie podróżuje koleją. Dokąd i jak często jeździmy pociągiem?

Kolej w Polsce przeżywa rozkwit – w ubiegłym roku odnotowano rekordową liczbę przejazdów. Aż 45% Polaków deklaruje sympatię do tego środka transportu, szczególnie młodzi (16–24 lata) i mieszkańcy Pomorza, którzy podróżują średnio 33 razy rocznie. Jaka jest najczęściej uczęszczana trasa? W jakie dni Polacy najczęściej kupują bilety? Jaki rodzaj pociągu preferują?

REKLAMA