DPD z karą 11,5 mln zł za naruszenie przepisów RODO

Prezes Urzędu Ochrony Danych Osobowych nałożył na DPD dwie kary o łącznej wysokości 11,46 mln zł za naruszenie przepisów RODO. Według UODO firma nie zawierała umów dot. przetwarzania danych osobowych z zewnętrznymi przewoźnikami.

Pierwszą karę w wysokości 6,25 mln zł DPD dostało za niezawarcie umów powierzenia przetwarzania danych osobowych z zewnętrznymi przewoźnikami. Spółka broniła się, twierdząc, że przedmiotem umowy była czynność przewozu, która nie łączyła się z przetwarzaniem przez przewoźników danych osobowych, więc nie było takiej konieczności.

„Prezes UODO nie podzielił poglądu spółki, uznając, że nie zawierając z ww. przewoźnikami umów powierzenia przetwarzania, naruszyła ona art. 28 ust. 3 RODO” – czytamy. Urząd podkreśla, że administrator przy doręczaniu przesyłek przetwarzał dane takie jak imiona i nazwiska, adresy domowe i mailowe, numery telefonu, podpisy czy numery konta bankowego. Według UODO DPD nie zapewniła też, żeby ich przetwarzanie odbywało się wyłącznie na polecenie administratora.

Urząd podkreślił też, że administrator nie udzielał pracownikom skutecznie i prawidłowo upoważnień do przetwarzania danych. Nowi pracownicy dostawali automatycznie upoważnienia po odbyciu szkolenia w zakresie zasad ochrony danych osobowych na elektronicznej platformie edukacyjnej.

„Zaliczenie testu powodowało automatyczne wygenerowanie pliku z treścią sugerującą, że jest to upoważnienie do przetwarzania danych, jednak niezawierające istotnych elementów, takich jak imię i nazwisko pracownika oraz podpis osoby udzielającej upoważnienia” – tłumaczy urząd.

Za niewdrożenie środków organizacyjnych służących zapewnieniu odpowiedniego bezpieczeństwa danych prezes UODO nałożył na administratora drugą karę w kwocie 5,21 mln zł. Łącznie kara dla DPD wyniosła więc 11,46 mln zł.

W stanowisku nadesłany redakcji XYZ firma DPD wskazała, że "podchodzi z należytą starannością do jakości i bezpieczeństwa swoich usług, a także do ochrony danych". Przewoźnik obecnie analizuje otrzymaną decyzję od UODO.

"Zależy nam na rzetelnym wyjaśnieniu sprawy i wykazaniu, że nasze rozwiązania i procedury spełniają wszystkie normy bezpieczeństwa ochrony danych osobowych" – podkreśliła spółka.

Źródło: PAP