UODO ukarał firmę prowadzącą Glovo. Prawie 5,9 mln zł grzywny za bezprawne pozyskiwanie skanów dowodów osobistych

Prezes Urzędu Ochrony Danych Osobowych nałożył prawie 5,9 mln zł kary na firmę Restaurant Partner Polska, która prowadzi platformę Glovo. Zdaniem urzędu spółka bezprawnie pozyskiwała zdjęcia i skany dowodów osobistych użytkowników aplikacji.

Urząd tłumaczy, że w przypadku podejrzenia oszustwa spółka domagała się dodatkowej weryfikacji, żądając od klientów skanu lub zdjęcia dowodu osobistego. Chodziło m.in. o przypadki niezgodności danych karty płatniczej z danymi użytkownika albo sytuacje, gdy kurier podejrzewał, że w paczce znajdują się nielegalne substancje.

Ukarana firma tłumaczyła, że wykorzystuje art. 6 ust. 1 RODO, czyli przetwarzanie danych niezbędne do celów wynikających z prawnie uzasadnionego interesu administratora. Chodziło bowiem o weryfikację osoby podejrzanej o oszustwo. Dodawała też, że zdjęć dowodów osobistych wymagano tylko w wyjątkowych sytuacjach.

Spółka ma usunąć wszystkie pozyskane skany dowodów

„Prezes UODO nie podzielił tej argumentacji. Podkreślił, że przetwarzanie danych osobowych wymaga spełnienia jednej z przesłanek z art. 6 ust. 1 RODO. W ocenie organu nadzorczego powołanie się przez spółkę na »uzasadniony interes administratora« było niewystarczające w świetle szerokiego zakresu przetwarzanych przez nią danych osobowych znajdujących się w dokumentach tożsamości” – wyjaśnił urząd.

Prezes UODO dodał, że kopiowanie dowodów osobistych czy paszportów jest możliwe tylko w wyjątkowych przypadkach przez podmioty, które są do tego upoważnione ustawowo „w sytuacjach wyraźnie przewidzianych przepisami prawa”. Dostając bowiem skany dokumentów tożsamości, firma prowadząca Glovo uzyskiwała pełne dane osobowe klientów platformy.

Szef urzędu dodał, że kara jest tak wysoka, ponieważ proceder trwał od lipca 2019 roku, a baza danych klientów aplikacji obejmuje ponad 3,4 mln użytkowników. Istniało też realne ryzyko obaw klientów Glovo przed kradzieżą tożsamości.

Oprócz wysokiej kary spółka ma także zaprzestać pozyskiwania skanów dowodów osobistych oraz usunąć już zebrane dane osobowe w ciągu 30 dni od doręczenia decyzji.