NSA utrzymał karę UODO dla Santander Bank Polska za brak właściwego powiadomienia o incydencie

7 miesięcy temu

NSA oddalił skargę kasacyjną Santander Bank Polska, podtrzymując karę Prezesa UODO za naruszenie obowiązku informacyjnego po incydencie z dostępem do danych pracowników w PUE ZUS.

Naczelny Sąd Administracyjny w pełni potwierdził decyzję Prezesa UODO wobec Santander Bank Polska S.A. za naruszenie art. 34 ust. 1 RODO. Utrzymano karę finansową oraz nakaz niezwłocznego poinformowania pracowników o naruszeniu, w tym o możliwych konsekwencjach i środkach ograniczających skutki incydentu. Sąd odrzucił argument, że dostęp miała zaufana osoba, podkreślając, że kluczowe jest, iż istniała możliwość zapoznania się z danymi, co – przy ich zakresie – tworzyło wysokie ryzyko dla osób, których dane dotyczą.

Do naruszenia doszło, gdy byłemu pracownikowi nie odebrano dostępu do PUE ZUS, przez co po zakończeniu pracy mógł wchodzić na profil płatnika i pięciokrotnie logował się w ciągu ośmiu miesięcy. Zakres danych dostępnych na PUE ZUS obejmuje m.in. imiona i nazwiska, numery PESEL, adresy oraz informacje o zwolnieniach lekarskich. Prezes UODO uznał to za naruszenie poufności z wysokim ryzykiem i nakazał powiadomienia, lecz bank uznał, że zgłosił incydent „z ostrożności” i nie widział potrzeby informowania osób.

Organ wskazał, że wewnętrzny komunikat w firmie był zbyt ogólny i nie informował, że incydent faktycznie wystąpił. Ponadto mógł dotrzeć wyłącznie do obecnych pracowników, podczas gdy naruszenie mogło dotyczyć także byłych. Dodatkowo obciążające było konsekwentne kwestionowanie potrzeby zawiadomienia.

Co to oznacza w praktyce

Sąd potwierdził, że o obowiązku zawiadomienia decyduje już sama możliwość nieuprawnionego dostępu i wynikające z tego wysokie ryzyko. Celem powiadomień jest umożliwienie osobom podjęcia działań ochronnych, co wymaga jasnej i konkretnej informacji, a nie ogólnych komunikatów.

Źródło: UODO – aktualności.

Jeżeli juz odwiedziłeś naszą stronę - zapraszamy do przejrzenia cennika usług!