Autor: rodo-online.eu

W dniu dzisiejszym 25.05.2020 r. mija dwa lata obowiązywania w Polsce Ogólnego rozporządzenia o ochronie danych (tzw. RODO). Chciałbym dziś przedstawić ilość i wielkość kar nałożonych przez Prezesa Urzędu Ochrony Danych Osobowych. Artykuł 83 RODO wskazuje ogólne warunki nakładania kar pieniężnych, nałożenie każdej kary łączy się z wydaniem decyzji administracyjnej wraz z uzasadnieniem. Pragnę przypomnieć o trzech przedziałach kar pieniężnych, które wyróżnia RODO:

• Kary do 10 mln. EUR a w przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego – za naruszenia w zakresie: rejestrowania czynności przetwarzania, współadministrowania, współpracy z UODO oraz z podmiotem przetwarzającym, upoważniania, wdrożenia zabezpieczeń, zgłaszania naruszeń, oceny skutków, pracy IOD
• Kary do 20 mln. EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego za naruszenia w zakresie: legalności przetwarzania, warunków zgód, celowości, adekwatności, czasowości, obowiązku informacyjnego, praw osób, niezgodnego z prawem przetwarzania oraz ochrony przed utratą, zniszczeniem lub uszkodzeniem danych
• Kary do 100.000 PLN dla podmiotów publicznych

Kary dot. przestrzegania RODO nałożone w Polsce (stan na dzień 01.05.2020):

• Bisnode Polska sp. z o.o. – 943 470 PLN – naruszenie: art. 14 ust. 1 – 3
• Dolnośląski Związek Piłki Nożnej – 55 750,50 PLN – naruszenie: 5 ust. 1 lit. f /  32 ust. 1 lit. b / 32 ust. 2
• Morele.net sp. z o.o. – 2 830 410 PLN – naruszenie: 5 ust. 1 lit. a / 5 ust. 1 lit. f / 5 ust. 2 / 6 ust. 1 / 7 ust. 1 / 24 ust. 1 / 25 ust. 1 / 32 ust. 1 lit. b / 32 ust. 1 lit. d / 32 ust. 2
• Burmistrz Aleksandrowa Kujawskiego – 40 000 PLN – naruszenie: 5 ust. 1 lit. a / 5 ust. 1 lit. f / 5 ust. 1 lit. e / 5 ust. 2 / 24 ust. 1 oraz 2 / 28 ust. 3 / 30 ust. 1 lit. d oraz f / 32 ust. 1 lit. b / 32 ust. 1 lit. c
• ClickQuickNow sp. z o.o. – 201 559,50 PLN – naruszenie: 5 ust 1 lit. a w zw. z art. 5 ust. 2 / 7 ust. 3 / 12 ust. 2 / 17 ust. 1 lit. b / 24 ust. 1 / art. 6 ust. 1
• Szkoła Podstawowa nr 2 w Gdańsku – 20 000,00 PLN – naruszenie: 5 ust. 1 lit. c / art. 9 ust. 1
• Vis Consulting Sp. z o.o. – 20 000,00 PLN – naruszenie: 31 RODO / art. 58 ust. 1 lit. e oraz f

Klienci dzwoniąc lub pisząc często zadają pytania dotyczące incydentu/naruszenia danych osobowych, który się u nich zdarzył. Bywa i tak, że nie wiedzą co robić i jak sobie poradzić z zastaną sytuacją. Często pośpiech lub błąd ludzki powoduje to, że może dojść do np. spakowania ważnej dokumentacji zawierającej dane osobowe i wysłania jej za potwierdzeniem odbioru ale… nie do tego klienta/petenta, do którego miała być adresowana. Co wtedy zrobić, gdy złamiemy zasadę poufności danych? Pomocne okazuje się narzędzie zawarte w systemie RODO-ONLINE.EU (zakładka „Incydenty”). 

Zgodnie z art. 4 pkt 12 RODO naruszenie bezpieczeństwa prowadzi do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

Najczęściej w swojej pracy spotykamy się z naruszeniem poufności. Możemy w dowolnym momencie wprowadzić incydent/naruszenie zgodnie z zastaną sytuacją do RODO-ONLINE.EU. Może go wprowadzić każda osoba mająca uprawniania do systemu: konto IOD, konto ADO lub konto dostępowe (np. pracownik). 

Wprowadzenie nowego incydentu/naruszenia do systemu RODO-ONLINE.EU jest bardzo proste. Jeżeli ryzyko jest wysokie, można również odznaczyć czy zawiadomiono i kiedy organ nadzorczy (prezesa UODO), osobę której dane dotyczą lub administratora danych powierzonych. 

Możemy również dodać notatki i załączniki związane z naruszeniem/incydentem. Jeżeli wszystko się dobrze zakończy (np. zwrócono nam korespondencję, która była źle nadana) można zmienić status na „zakończony”, w przeciwnym razie mamy ukazane nasze działania, gdy status jest „w toku”. Administrator danych, zgodnie z art. 33 ust. 5 ogólnego rozporządzenia o ochronie danych powinien dokumentować wszelkie naruszenia ochrony danych osobowych. Trzeba zatem prowadzić rejestr naruszeń. Ważne, aby organ nadzorczy mógł zweryfikować, czy administrator danych realizuje ten obowiązek. W celu rozliczalności każdy korzystający z RODO-ONLINE.EU może mieć go pod ręką i wracać do niego w razie potrzeby. Jest to nieodzowne narzędzie, które przydaje się w pracy przy ochronie danych osobowych. Wiadomo nie od dziś, że kto nie pracuje ten nie popełnia błędów, zatem zawsze może się zdarzyć coś incydentalnego na co niestety nie mamy wpływu prowadząc firmy, mając nawet najlepiej przeszkoloną załogę i wprowadzone regulaminy oraz zabezpieczenia, ten rejestr incydentów/naruszeń może okazać się bardzo pomocny w skomplikowanej dla nas sytuacji.