UODO: 545 tys. zł kary dla Santander Bank Polska, bo były pracownik miał dostęp do platformy ZUS

Urząd Ochrony Danych Osobowych wyjaśnił, że administrator zgłosił do urzędu naruszenie ochrony danych osobowych po tym, gdy stwierdził, że były pracownik banku posiada nieuprawniony dostęp do profilu płatnika na Platformie Usług Elektronicznych ZUS (PUE ZUS). W wyniku tego mógł on przeglądać znajdujące się na profilu płatnika Santander Bank Polska dane osób zatrudnionych w banku.

W toku postępowania ustalono, że pracownik po zakończeniu pracy korzystał z przysługujących mu uprawień i pięciokrotnie logował się do platformy.

Urząd uznał, że doszło do naruszenia poufności danych, które wiąże się jednocześnie z zaistnieniem wysokiego ryzyka dla naruszenia praw lub wolności osób, których dane dotyczą. Zdaniem organu nadzorczego osoby te należało zawiadomić o zaistniałym incydencie.

>>> Praca.Wirtualnemedia.pl - tysiące ogłoszeń z mediów i marketingu

Jednak w ocenie banku nie zidentyfikowano nielegalnego przetwarzania danych, nie doszło do naruszenia ochrony danych osobowych w rozumieniu RODO. Jak tłumaczył administrator, o naruszeniu ochrony danych osobowych poinformowano "jedynie ze względów ostrożności".

Po analizie sprawy uznał on, że incydent nie wiąże się z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych, stąd też osoby, których dane dotyczą nie zostały zawiadomione o naruszeniu. Bank umieścił jednak na platformie komunikacji wewnętrznej komunikat przypominający zasady przetwarzania danych osobowych.

UODO: wewnętrzny komunikat Santander Bank Polska zbyt ogólny

W ocenie UODO tego typu komunikat był zbyt ogólny, nie odnosił się do konkretnego przypadku - zaprezentowano w nim jedynie przykładowe rodzaje naruszeń. Ponieważ zabrakło w komunikacie wskazania, że taka sytuacja de facto miała miejsce, to potencjalny odbiorca nie miał żadnych powodów, aby potraktować go poważnie, wyciągnąć z niego wnioski i odpowiednio zareagować - uważa UODO.

W 2021 roku wzrost liczby skarg i zawiadomień o naruszeniach ochrony danych

Według UODO, sprawie tej nie jest istotne to, czy osoba nieuprawniona faktycznie zapoznała się z danymi osobowymi innych osób, lecz to, że wystąpiło takie ryzyko (miała możliwość zapoznania się z tymi danymi).

"W konsekwencji oznacza to, że z uwagi na zakres danych wystąpiło wysokie ryzyko naruszenia praw lub wolności podmiotów danych" - wskazał urząd.

@UODOgov_pl nakazał także spełnienie obowiązku wynikającego z #RODO, jakim jest zawiadomienie o zaistniałym incydencie osób, których dane dotyczą oraz poinformowanie ich o potencjalnych konsekwencjach z nim związanych.
Więcej informacji i treść decyzji. ⤵️https://t.co/gjQUaoJslZ

— Urząd Ochrony Danych Osobowych (@UODOgov_pl) February 22, 2022

Zdaniem UODO administrator świadomie zrezygnował z powiadomienia osób, których dane dotyczą, o zaistniałym naruszeniu. W postępowaniu prowadzonym przed organem nadzorczym administrator konsekwentnie utrzymywał, że nie zamierza wypełnić obowiązku zawiadomienia o incydencie tych osób - wyjaśniono.

Zgodnie ze stanowiskiem UODO takie zaniechanie uniemożliwia podjęcie przez te osoby działań zaradczych i właściwych kroków w celu ochrony swoich praw. Co więcej, może ono doprowadzić do szkód majątkowych lub niemajątkowych dla osób, których dane zostały naruszone - dodano.

"Mając na uwadze powyższe, Prezes UODO podjął decyzję nie tylko o nałożeniu administracyjnej kary pieniężnej w wysokości ponad 545 tys. zł, ale także nakazał spełnienie obowiązku wynikającego z RODO jakim jest zawiadomienie osób o zaistniałym incydencie" - podsumowano w komunikacie.