Zadania Prezesa UODO

Podstawę prawną działania Prezesa Urzędu Ochrony Danych Osobowych stanowi ogólne rozporządzenie o ochronie danych- „RODO” oraz ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych. 

Prezes UODO to niezależny organ, który odpowiada za ochronę danych osobowych i przestrzeganie prawa do prywatności. Do jego obowiązków należy również dbanie o to, aby – w razie naruszeń – zostały zastosowane właściwe rozwiązania prawne i podjęte działania mające na celu podnoszenie świadomości w zakresie ochrony danych osobowych. Jego działalność jest bardzo istotna, ponieważ rozpowszechnia w społeczeństwie wiedzę o ryzyku i zabezpieczeniach mających na celu ochronę prywatności każdego z nas. 

Przyczyny nałożenia kary mogą być różne. Do najczęstszych należą m.in. wysłanie maila lub pisma na niewłaściwy adres, naruszenia związane z niewłaściwym zabezpieczeń od strony IT, w tym ataki hackerskie, zagubienie przez pracowników dokumentów, niewłaściwa anonimizacja danych osobowych oraz niszczenie archiwalnej dokumentacji, czy udostępnianie nagrań z monitoringu. Jednak możemy również wyróżnić te mniej oczywiste np. wysłanie przez agenta ubezpieczeniowego polisy na błędnie podany przez klienta adres e-mail, co skutkowało doręczeniem jej do nieuprawnionego adresata czy wyciek niezabezpieczonych danych pozwalający na dostęp do bazy danych ponad 2 milionów klientów.

Kiedy dochodzi do naruszenia?

W sytuacji, w której doszło do złamania przepisów o ochronie danych osobowych, Prezes UODO podejmuje określone działania naprawcze, reagując odpowiednio do wagi konkretnego naruszenia (zgodnie z art. 58 ust. 2 RODO). 

Wyciek danych może nieść za sobą przykre konsekwencje, jak np. zaciągnięcie przez oszusta kredytu na nasze nazwisko. Wycieki są szczególnie bolesne dla firm, dla których bardzo ważna jest reputacja, którą trudno zbudować, a bardzo łatwo stracić. Oprócz utraty wizerunku można otrzymać karę pieniężną. Jest ona nakładana w zależności od wagi naruszeń i oceny okoliczności konkretnej sprawy. Wówczas każdy przypadek jest badany indywidualnie. Nawet w przypadku dwóch podobnych zdarzeń, decyzja może być zupełnie inna. Decydują o tym specyficzne okoliczności związane z konkretnym przypadkiem.

W Polsce pierwsza kara za niezastosowanie się do wytycznych PUODO miała miejsce w 2021 roku. Wyniosła ona ponad 85.000 zł za niezastosowanie się przez przedsiębiorcę z branży medycznej do udzielanych przez UODO wskazówek.

Co więcej, ostatnie lata pokazują coraz większą śmiałość Prezesa UODO do nakładania wysokich kar pieniężnych za nieprzestrzeganie przepisów RODO. Przykładowo niezastosowanie przez KSSIP odpowiednich środków technicznych i organizacyjnych zapewniających poufność usług przetwarzania danych skutkowało karą w wysokości 100.000 zł, z kolei Virgin Mobile Polska sp. z o. o. za naruszenie zasady poufności danych i rozliczalności zostało ukarane kwotą 1.968.524,00 zł. Innym przykładem jest kara na poziomie 136.000,00 zł za brak zgłoszenia naruszenia ochrony danych osobowych na Spółkę ENEA S.A. Najwyższa – do tej pory – kara pieniężna nałożona przez polski organ nadzoru wyniosła 2.830.410,00 zł. Takie działanie UODO to skutek wycieku danych klientów sklepów internetowych prowadzonych przez Morele.net, które umożliwiło hakerom dostęp do bazy danych ponad 2 milionów klientów. Konsekwencje nieprzestrzegania przepisów RODO ponoszą również instytucje publiczne – przykładem jest Główny Geodeta Kraju, który nie podejmował współpracy z Prezesem UODO oraz utrudniał kontrolę przestrzegania przepisów o ochronie danych osobowych.

Autor: r.pr. Justyna Pergałowska, ODO 24