Prezes Urzędu Ochrony Danych Osobowych (UODO), Mirosław Wróblewski, podjął decyzję o nałożeniu administracyjnej kary pieniężnej na Santander Bank Polska S.A. w wysokości 1mln 440 tys. zł. Ukarany został także Toyota Bank Polska S.A. Powodem brak zgłoszenia naruszenia ochrony danych.
Interesy administratora nie są priorytetem
W przypadku Santander Bank Polska S.A., naruszenie ochrony danych zostało zgłoszone do Prezesa UODO przez media. Polegało ono na upublicznieniu dokumentów bankowych, zawierających wrażliwe dane osobowe, które zostały znalezione w porzuconej przesyłce.
>Umów się na bezpłatny audyt wstępny RODO<
Prezes UODO podczas postępowania zaznaczył, że ocena ryzyka naruszenia praw lub wolności osób dotkniętych incydentem powinna być dokonywana przez pryzmat tych osób, a nie interesów administratora danych. Brak zgłoszenia naruszenia ogranicza możliwość właściwej reakcji i oceny ryzyka ze strony organu nadzorczego.
Santander z historią naruszeń
Decyzja Prezesa UODO o nałożeniu kar pieniężnych wynika również z historii naruszeń danych przez Santander Bank Polska S.A. Nałożono na niego karę w wysokości 545 tys. zł za brak zawiadomienia osób dotkniętych naruszeniem ochrony danych.
Konsekwencje braku zgłoszenia
Prezes UODO zwrócił uwagę, że fakt, iż dane zostały odnalezione przez jedną osobę, nie eliminuje ryzyka naruszenia dla pozostałych osób. Brak zgłoszenia naruszenia ogranicza również możliwość organu nadzorczego w podejmowaniu odpowiednich środków bezpieczeństwa.
Przeczytaj także: Uber zapłaci 10 milionów euro za naruszenia prywatności
Toyota Bank Polska S.A. został również ukarany za podobne naruszenie ochrony danych. Wysłanie danych osoby do nieuprawnionego odbiorcy stanowiło naruszenie przepisów RODO. Tak jak w przypadku Santander Bank Polska S.A., brak zgłoszenia naruszenia przez Toyota Bank Polska S.A. pozbawił organ nadzorczy możliwości właściwej reakcji i oceny ryzyka dla osób dotkniętych naruszeniem.
Poniżej treść obu decyzji Prezesa UODO:
Źródło: Troska o dane osób ważniejsza niż interes administratora
Najważniejsze informacje
- UODO nałożył na Santander Bank Polska karę w wysokości 1 440 000 zł za naruszenie ochrony danych osobowych.
- Incydent dotyczył upublicznienia dokumentów bankowych z wrażliwymi danymi osobowymi znalezionymi w porzuconej przesyłce.
- Głównym zarzutem był brak zgłoszenia naruszenia do organu nadzorczego (UODO) w wymaganym terminie.
- UODO podkreślił, że ocena ryzyka naruszenia musi być dokonywana z perspektywy osób, których dane dotyczą – nie interesu administratora.
- To kolejna kara dla Santandera – wcześniej bank otrzymał 545 tys. zł za brak zawiadomienia poszkodowanych osób o naruszeniu.
- Toyota Bank Polska otrzymała analogiczną karę za brak zgłoszenia incydentu do UODO – co potwierdza konsekwentną linię orzeczniczą organu.
