Останніми днями можна було почути про те, що Воєводський адміністративний суд у Варшаві підтримав рішення голови Управління захисту персональних даних про накладення штрафу на мера Александрова Куявського у розмірі 40 000 злотих.
Мер, як контролер персональних даних, не уклав угоду про обробку даних зі суб'єктами, яким він передав персональні дані, тим самим порушивши положення регламенту ЄС (GDPR). Вимога щодо укладення такої угоди безпосередньо випливає з GDPR, і її відсутність може мати серйозні наслідки, як виявив мер Александрува Куявського, – зокрема фінансові. Загалом, ця угода регулює взаємні права та обов'язки сторін, що також має забезпечити відповідні організаційні та технічні заходи для забезпечення законності обробки даних. Невід'ємними елементами такого документа є обсяг (які дані довіряються) та мета (із зазначенням причини обробки даних). Особливо важливим є належне визначення договірних положень та їх дотримання, оскільки це забезпечує належні умови для впровадження правил захисту персональних даних. Шаблонів, доступних онлайн, може бути недостатньо, тому важливо, щоб угода була належним чином адаптована до сфери діяльності контролера.
Генерального інспектора Польщі оштрафували на 100 000 злотих за порушення принципу законної обробки даних, тобто статті 5 пункту 1 літери «а» та статті 6 GDPR, які передбачають, що персональні дані повинні оброблятися законно, справедливо та прозоро для суб'єкта даних. Основною причиною накладення такого високого штрафу було те, що на основі домовленостей з головами районів Управління отримувало інформацію з земельного та будівельного реєстру (включаючи номери земельних та іпотечних реєстрів) та публікувало її на онлайн-платформі GEOPORTAL2. Голова Управління захисту персональних даних (UODO) вважав ці угоди недостатніми та не є підставою для розкриття цієї категорії даних.
Номери земельних та іпотечних реєстрів є персональними даними, і Голова Управління захисту персональних даних (UODO) не мав жодних сумнівів щодо цього, накладаючи покарання. Згідно з GDPR, персональні дані означають будь-яку інформацію про ідентифіковану або ідентифіковану фізичну особу. Публікація даних у формі номерів земельних та іпотечних реєстрів Генеральним землеміром Польщі дає можливість будь-якому користувачеві Інтернету отримати до них доступ, що може негативно вплинути на безпеку суб'єктів даних.
Варто також нагадати про найвищий штраф, будь-коли накладений президентом Управління із захисту персональних даних (UODO), що перевищує 2,8 мільйона злотих, накладений на «morele.net» за недостатні організаційні та технічні заходи безпеки, що призвели до несанкціонованого доступу до персональних даних 2,2 мільйона осіб. Регламент GDPR дозволяє національним органам із захисту даних накладати штрафи на суму до 20 мільйонів євро або 4% від річного світового обороту.
Простежуючи історію накладених штрафів, ми безсумнівно робимо висновок, що їхні суми демонструють тенденцію до зростання. Це може бути пов'язано з положеннями регламенту ЄС, які передбачають, що штрафи, окрім того, що вони повинні бути ефективними та пропорційними в кожному окремому випадку, також мати стримуючий ефект, а також з тим фактом, що бюджет UODO у 2019 році було скорочено порівняно з попереднім роком – дані, опубліковані Європейською радою із захисту даних у її щорічному звіті.
Скорочення бюджету UODO може стати несподіванкою, особливо враховуючи, що регламент ЄС наклав на Орган додаткові зобов'язання, вимагаючи більшого робочого навантаження. Це не є гарною новиною для контролерів даних; президент UODO може залізти їм у кишеню, накладаючи подальші штрафи. На жаль, це також може означати, що ці штрафи зростуть до рівня штрафів, що накладаються установами в інших європейських країнах.
Вихідні матеріали:
- Рішення Воєводського адміністративного суду у Варшаві від 26 серпня 2020 р., номер II SA/Wa 2826/19,
- Рішення Голови Управління захисту персональних даних від 24 серпня 2020 року, номер DKN.5112.13.2020,
- Регламент (ЄС) 2016/679 Європейського Парламенту та Ради від 27 квітня 2016 року про захист фізичних осіб стосовно обробки персональних даних та про вільний рух таких даних, що скасовує Директиву 95/46/ЄС (Загальний регламент про захист даних) (OJ EU L. від 2016 року, № 119, зі змінами)
