NSA utrzymuje karę UODO dla Banku Millennium za brak zgłoszenia naruszenia danych

10 miesięcy temu

Naczelny Sąd Administracyjny oddalił skargę kasacyjną Banku Millennium, podtrzymując ocenę UODO i WSA, że bank nie dopełnił obowiązków związanych z naruszeniem ochrony danych.

Naczelny Sąd Administracyjny uznał skargę kasacyjną Banku Millennium za bezzasadną, pozostawiając w mocy wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie oraz decyzję Prezesa UODO o administracyjnej karze pieniężnej przekraczającej 350 tys. zł. Sprawa dotyczyła incydentu polegającego na zagubieniu przez firmę kurierską korespondencji nadanej przez bank, zawierającej dane klientów, w tym m.in. imię i nazwisko, numer PESEL, adres zameldowania, numery rachunków oraz identyfikator klienta.

UODO dowiedział się o zdarzeniu ze skargi kierowanej na bank. Administrator uznał ryzyko dla osób za średnie i nie zgłosił naruszenia organowi nadzorczemu ani nie powiadomił osób, których dane dotyczą w sposób wymagany przepisami. WSA stwierdził, że doszło do naruszenia bezpieczeństwa danych w rozumieniu RODO i że administratorem pozostaje bank, ponieważ to on określa cele i sposoby przetwarzania, a nie operator pocztowy. Bank w kasacji twierdził m.in., że władztwo nad przesyłką sprawowała firma kurierska i kwestionował wymiar kary. NSA nie podzielił tych argumentów i oddalił skargę (sygn. III OSK 2416/22; DKN.5131.16.2021).

Co to oznacza w praktyce

Orzeczenia potwierdzają, że za naruszenie przy przesyłce z danymi odpowiada administrator, który określa cele i sposoby przetwarzania. Przy co najmniej średniej ocenie ryzyka konieczne jest zgłoszenie naruszenia oraz poinformowanie osób, których dane dotyczą.

Źródło: UODO – aktualności.

Jeżeli juz odwiedziłeś naszą stronę - zapraszamy do przejrzenia cennika usług!