24/7 Communication o karze od UODO: bezpośrednią przyczyną był nieumyślny błąd ludzki

Naruszenie dotyczyło narzędzia stworzonego w 2014 roku, a jego bezpośrednią przyczyną był nieumyślny błąd ludzki – podkreślił w oświadczeniu przekazanym XYZ CEO 24/7Communication Dirk Aarts.

To komentarz do kary, jaką UODO nałożył na agencję, której sieć restauracji McDonald's zleciła m.in. zarządzanie grafikami pracowników. Urząd ukarał też samą sieć McDonald's – karą w wysokości 17 mln zł.

Czytaj także: UODO nałożył na McDonald's karę na blisko 17 mln zł

„W dniu 30 czerwca 2025 r. otrzymaliśmy decyzję Urzędu Ochrony Danych Osobowych ws. zdarzenia z 2020 roku, związanego z naruszeniem ochrony danych osobowych pracowników jednego z naszych klientów.  Naruszenie dotyczyło narzędzia stworzonego w 2014 roku, a jego bezpośrednią przyczyną był nieumyślny błąd ludzki. W czasie prowadzenia postępowania administracyjnego współpracowaliśmy z UODO i pozostawaliśmy w stałym kontakcie z jego przedstawicielami. Na przestrzeni ostatnich lat wprowadziliśmy też szereg dodatkowych usprawnień w zakresie bezpieczeństwa informacji zgodnie z wytycznymi EDPB, CERT i ENISA. Wśród nich m.in. stworzenie działu compliance w agencji oraz rozwój zabezpieczeń IT. Stale podnosimy wiedzę i świadomość naszych pracowników poprzez cykliczne szkolenia, a ponadto prowadzimy wewnętrzne i zewnętrzne audyty kwartalne, realizowane przez specjalistów ds. bezpieczeństwa informacji" – oświadczył Dirk Aarts, CEO 24/7Communication.

McDonald's: dołożyliśmy starań, aby zminimalizować wpływ naruszenia

Z kolei McDonald's poinformował, że obecnie analizuje treść decyzji UODO.

„Jako firma działamy w zgodzie z przepisami prawa i odpowiedzialnie. Ubolewamy, że doszło do incydentu sprzed pięciu lat. Dołożyliśmy starań, aby zminimalizować jego wpływ. Jednocześnie podkreślamy, że zdarzenie nie dotyczyło danych naszych gości, użytkowników aplikacji mobilnej ani kontrahentów" – czytamy w oświadczniu.

„Naruszenie dotyczyło osób zatrudnionych w wybranych restauracjach od maja 2014 do stycznia 2019 roku. Po stwierdzeniu naruszenia niezwłocznie dokonaliśmy zgłoszenia do Prezesa Urzędu Ochrony Danych Osobowych. W toku postępowania administracyjnego transparentnie współpracowaliśmy z Urzędem. Dodatkowo podjęliśmy działania mające na celu zabezpieczenie danych naszych pracowników, gości i kontrahentów. Zrezygnowaliśmy z narzędzia do wyświetlania grafików pracy, przeprowadzamy niezależne audyty, wzmocniliśmy wewnętrzne procedury oraz cyklicznie realizujemy szkolenia z zakresu ochrony danych osobowych" – dodał McDonald's.

Jak stwierdziła spółka, do dziś nie odnotowała przypadków nieuprawnionego wykorzystania danych objętych incydentem.