Регламент (ЄС) 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 року про захист фізичних осіб стосовно обробки персональних даних та про вільний рух таких даних, що скасовує Директиву 95/46/ЄС (далі – GDPR), передбачає можливість накладення фінансових штрафів за невиконання, порушення або порушення його положень. У Польщі ці штрафи накладаються Головою Управління захисту персональних даних (далі – PUODO) шляхом адміністративного рішення. З моменту набрання чинності GDPR у Польщі було накладено понад 60 штрафів на загальну суму понад 3,4 мільйона євро.
Найновіше фінансове стягнення, накладене у 2023 році Головою Управління із захисту персональних даних, у розмірі 100 000 євро, стосується Міністра охорони здоров'я за порушення, пов'язане з незаконною обробкою персональних даних, включаючи дані спеціальної категорії. Ці дані були отримані через електронну платформу, а потім опубліковані на платформі соціальних мереж "X" без правової підстави. Це порушення також полягало у відсутності належних технічних та організаційних заходів, що забезпечують рівень безпеки, що відповідає ризику обробки даних, а також у ненаданні суб'єктам даних інформації, зазначеної у статті 33(3)(c) та (d) GDPR, тобто опису можливих наслідків порушення захисту персональних даних та опису заходів, вжитих або запропонованих контролером для усунення порушення, включаючи заходи щодо мінімізації його потенційних негативних наслідків.
З січня 2024 року Управління захисту персональних даних (PUODO) наклало чотири штрафи. Перший штраф було знову накладено на краківський портал Morele.net, який раніше був оштрафований на 660 000 євро у 2019 році. Morele.net знову порушив GDPR, не впровадивши належних технічних та організаційних заходів для забезпечення безпеки обробки даних в ІТ-системах та захисту прав суб'єктів даних, що призвело до порушення принципів цілісності та конфіденційності даних. Штраф склав 3 819 960 злотих, що еквівалентно 810 000 євро.
Ще один штраф, накладений цього року, стосувався суб'єкта господарювання за порушення положень GDPR, оскільки він не повідомив Голову Управління захисту персональних даних про порушення захисту персональних даних без зайвої затримки, не пізніше ніж через 72 години після виявлення порушення, та не повідомив суб'єктів даних про порушення захисту персональних даних без зайвої затримки. Було накладено адміністративний штраф у розмірі 9 903,60 злотих. Крім того, орган влади зобов'язав трьох осіб, перелічених у рішенні, чиї номери PESEL були розкриті в результаті несанкціонованого розголошення, бути повідомленими про порушення захисту персональних даних протягом трьох днів з дати повідомлення про рішення, щоб надати їм інформацію, що вимагається статтею 34(2) Регламенту 2016/679. Було наголошено, що виникнення високого ризику порушення прав або свобод фізичних осіб, окрім запису в реєстрі порушень, вимагає від контролера вжиття відповідних заходів як до наглядового органу (повідомлення про порушення захисту даних), так і до суб'єктів даних.
Останній фінансовий штраф у розмірі 78 575,40 злотих було накладено на Toyota Bank Polska S.A., що базується у Варшаві, за повідомлення президенту Управління захисту персональних даних про порушення захисту персональних даних, що стосувалося персональних даних однієї особи, включаючи її ім'я, номер банківського рахунку, адресу проживання, PESEL (польський національний ідентифікаційний номер) та серію та номер посвідчення особи. Це порушення стосувалося помилки працівника під час надсилання банківського листа, що містив кредитну угоду та графік погашення, іншому клієнту банку, що призвело до розголошення даних неавторизованій особі. Листування було повернуто до банку, але надане пояснення вказує на те, що у зв'язку з цією ситуацією було зафіксовано лише інцидент безпеки, а про порушення захисту персональних даних не було повідомлено наглядовому органу у встановлені терміни.
Найсуворішим штрафом, накладеним на сьогодні, є 4 911 732 злотих, накладений на Fortum Marketing and Sales Polska SA, компанію, що співпрацює з PIKA Sp. z o.o., чий штраф склав 250 135 злотих. Заявлене порушення вказувало на копіювання даних клієнтів Контролера, а інцидент був пов'язаний із впровадженням змін в ІТ-середовищі для послуг з метою підвищення ефективності всього сховища. Орган встановив, що компанії, зв'язані угодою про обробку персональних даних, допустили порушення через невпровадження належних технічних та організаційних заходів для забезпечення безпеки персональних даних, що призвело до порушення їхньої конфіденційності, а також через відсутність перевірки обробника. Під час визначення розміру адміністративного штрафу, накладеного на Fortum Marketing and Sales Polska SA та PIKA sp. z o. o., орган врахував обставини справи, що мали обтяжуючі наслідки та вплинули на розмір накладеного фінансового стягнення, такі як: характер та тяжкість порушення, ступінь відповідальності компаній, враховуючи вжиті технічні та організаційні заходи, відповідні попередні порушення положень Регламенту та категорії персональних даних, яких стосується порушення.
Варто також зазначити, що органи нагляду мають право накладати санкції, окрім фінансових, такі як попередження, обмеження на обробку даних або тимчасова чи постійна заборона на обробку даних.
Ця стаття призначена лише для ознайомлення та не є юридичною консультацією.
Правовий статус станом на 10 квітня 2024 року.
автор:
