В последние дни стало известно о том, что Варшавский областной административный суд подтвердил решение председателя Управления по защите персональных данных о наложении штрафа на мэра Александрова Куявского в размере 40 000 злотых.
Мэр, как оператор персональных данных, не заключил соглашение об обработке данных с организациями, которым он передавал персональные данные, тем самым нарушив положения Регламента ЕС (GDPR). Требование о заключении такого соглашения вытекает непосредственно из GDPR, и его отсутствие может иметь серьезные последствия, как это обнаружил мэр Александрова Куявского, – в том числе и финансовые. В целом, это соглашение регулирует взаимные права и обязанности сторон, а также должно обеспечивать надлежащие организационные и технические меры для обеспечения законности обработки данных. Существенными элементами такого документа являются объем (какие данные передаются) и цель (указание причины обработки данных). Надлежащее определение договорных положений и их соблюдение особенно важно, поскольку это обеспечивает надлежащие условия для реализации правил защиты персональных данных. Доступные в интернете шаблоны могут быть недостаточными, поэтому крайне важно, чтобы соглашение было соответствующим образом адаптировано к объему деятельности оператора.
Генеральная землемерная служба Польши была оштрафована на 100 000 злотых за нарушение принципа законной обработки данных, а именно статьи 5, пункта 1, буквы а и статьи 6 GDPR, которые предусматривают, что персональные данные должны обрабатываться законно, справедливо и прозрачно для субъекта данных. Основной причиной наложения столь высокого штрафа стало то, что на основании соглашений с главами районов Управление получило информацию из земельного и строительного реестра (включая номера земельного и ипотечного реестра) и опубликовало ее на онлайн-платформе GEOPORTAL2. Председатель Управления по защите персональных данных (UODO) счел эти соглашения недостаточными и не являющимися основанием для раскрытия данной категории данных.
Номера земельного и ипотечного реестра являются персональными данными, и президент Управления по защите персональных данных (УОД) не сомневался в этом, налагая штраф. Согласно GDPR, персональными данными считается любая информация об идентифицированном или поддающемся идентификации физическом лице. Публикация данных в виде номеров земельного и ипотечного реестра Генеральным землемером Польши позволяет любому пользователю интернета получить к ним доступ, что может негативно сказаться на безопасности субъектов данных.
Стоит также напомнить о самом крупном штрафе, когда-либо наложенном Президентом Управления по защите персональных данных (UODO), превышающем 2,8 миллиона злотых, который был наложен на сайт "morele.net" за недостаточные организационные и технические меры безопасности, приведшие к несанкционированному доступу к персональным данным 2,2 миллиона человек. Регламент GDPR позволяет национальным органам по защите данных налагать штрафы в размере до 20 миллионов евро или 4% от годового глобального оборота.
Анализируя историю наложенных штрафов, мы, несомненно, приходим к выводу, что их размеры демонстрируют тенденцию к росту. Это может быть связано с положениями регламента ЕС, которые предусматривают, что штрафы, помимо эффективности и соразмерности в каждом конкретном случае, должны также иметь сдерживающий эффект, а также с тем фактом, что бюджет Управления по защите данных в 2019 году был сокращен по сравнению с предыдущим годом – данные, опубликованные Европейским советом по защите данных в его годовом отчете.
Сокращение бюджета Управления по защите данных может стать неожиданностью, особенно учитывая, что регламент ЕС наложил на Управление дополнительные обязательства, требующие увеличения рабочей нагрузки. Это плохая новость для операторов данных; президент Управления может использовать их средства для наложения дополнительных штрафов. К сожалению, это также может означать, что эти штрафы увеличатся до уровня штрафов, налагаемых учреждениями в других европейских странах.
Исходные материалы:
- Решение Воеводского административного суда в Варшаве от 26 августа 2020 г., номер II SA/Wa 2826/19,
- Решение Председателя Управления по защите персональных данных от 24 августа 2020 г., регистрационный номер DKN.5112.13.2020,
- Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 г. о защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных, отменяющий Директиву 95/46/EC (Общий регламент по защите данных) (Официальный журнал ЕС, № 119, 2016 г., с изменениями)
