Kara RODO dla firmy a outsourcing – gdzie zaczyna się odpowiedzialność administratora

W analizowanej sprawie McDonald’s powierzył obsługę systemu do planowania grafików pracowniczych podmiotowi zewnętrznemu. Sam fakt outsourcingu nie jest niczym nadzwyczajnym. Współczesny biznes opiera się na współpracy z dostawcami technologii i usług.

Problem polegał jednak na tym, że nie zawarto umowy powierzenia przetwarzania danych osobowych, a także nie przeprowadzono rzetelnej analizy ryzyka. Administrator nie zapewnił sobie pełnej kontroli nad systemem, nie prowadził audytów, nie weryfikował na bieżąco sposobu przetwarzania danych. W efekcie powyższych braków, doszło do publicznego ujawnienia danych pracowników, w tym numerów PESEL i paszportów.

W sprawie McDonald’s wykazano również, że dopiero w toku postępowania organ nadzorczy wymusił podpisanie umowy powierzenia danych osobowych, choć obowiązek ten istniał wcześniej, zgodnie z art. 28 ust. 4 i 9 RODO.

Dodatkowo ani administrator, ani podmiot przetwarzający nie angażowali inspektora ochrony danych (IOD) w kluczowe decyzje dotyczące wyboru podmiotu przetwarzającego ani sposobu przetwarzania danych w module grafików. Według UODO, pominięcie IOD ograniczyło możliwość zapobieżenia naruszeniu, co pokazuje, jak istotna jest rola IOD w codziennym nadzorze nad bezpieczeństwem danych.

Jaka może być wysokość kary RODO dla firmy?

Powyższe oznacza, że kara RODO dla firmy może być liczona nie tylko kwotowo, ale również procentowo – w oparciu o globalny obrót przedsiębiorstwa. Prezes UODO przy wymierzaniu kary bierze pod uwagę m.in. (art. 83 ust. 2 RODO):

• charakter, wagę i czas trwania naruszenia,
• liczbę poszkodowanych osób,
• umyślność lub nieumyślność działania,
• wdrożone środki techniczne i organizacyjne,
• wcześniejsze naruszenia,
• stopień współpracy z organem,
• kategorię danych (np. dane szczególne),
• działania podjęte w celu ograniczenia szkody.

W praktyce oznacza to, że kara RODO dla firmy jest zawsze oceną indywidualną.

Granica między optymalizacją a ryzykiem

Każda organizacja dąży do usprawnienia procesów. Automatyzacja, centralizacja danych czy integracja systemów są naturalnym kierunkiem rozwoju.

Granica zostaje przekroczona wtedy, gdy decyzje optymalizacyjne nie są równolegle analizowane pod kątem compliance – w tym przypadku ochrony danych osobowych.

Z mojej praktyki wynika, że kara RODO dla firmy pojawia się najczęściej tam, gdzie szybkie wdrożenie procesów nie nadążyło za koniecznością sporządzenia odpowiedniej dokumentacji.

Czego ta sprawa powinna nauczyć każdego administratora danych?

Decyzja UODO to wyraźny sygnał dla rynku. Organ bada nie tylko sam incydent, lecz cały system zarządzania bezpieczeństwem danych.

Istotne jest również sprawdzenie, że system bezpieczeństwa informacji (SZBI) został wdrożony zgodnie z zasadami wynikającymi z RODO, zwłaszcza z zasadą minimalizacji i rozliczalności (art. 5 ust. 1 lit. c RODO oraz art. 5 ust. 2 RODO).

Jak pokazuje przykład McDonald’s, bez odpowiedniego wdrożenia przepisów RODO, kwestią czasu może stać się kara RODO dla firmy.