UODO: kary dla McDonald’s Polska i 24/7 Communication za uchybienia w ochronie danych

1 rok temu

Prezes UODO ukarał McDonald’s Polska oraz 24/7 Communication za naruszenia związane z przetwarzaniem danych pracowników i brak właściwych zabezpieczeń. Sprawa dotyczy ujawnienia informacji z modułu grafików.

Prezes UODO nałożył na McDonald’s Polska Sp. z o.o. kary finansowe i udzielił upomnienia, a w tej samej sprawie ukarał także 24/7 Communication Sp. z o.o. jako podmiot przetwarzający. Ujawnione w publicznie dostępnym katalogu dane obejmowały m.in. informacje identyfikacyjne pracowników McDonald’s i jego franczyzobiorców oraz szczegóły dotyczące czasu pracy i stanowisk.

Do naruszenia doszło na skutek błędnej konfiguracji serwera obsługującego moduł grafików pracowniczych. Postępowanie wykazało m.in. brak analizy ryzyka po stronie administratora i podmiotu przetwarzającego, niewdrożenie adekwatnych środków technicznych i organizacyjnych, a także nierealizowanie postanowień umowy powierzenia w zakresie audytów i inspekcji. Podmiot przetwarzający nie zapewnił regularnego testowania, mierzenia i oceniania zabezpieczeń oraz korzystał z usług innego dostawcy bez zawarcia umowy podpowierzenia.

UODO podkreślił, że obowiązek zapewnienia odpowiedniego poziomu bezpieczeństwa spoczywa na obu stronach procesu. McDonald’s nie zweryfikował należycie zdolności podmiotu przetwarzającego do ochrony danych i nie włączał inspektora ochrony danych we wszystkie sprawy dotyczące modułu grafików. Powierzenie przetwarzania nie zwalnia administratora z odpowiedzialności.

Co to oznacza w praktyce

Administrator i podmiot przetwarzający muszą równolegle wdrażać i utrzymywać środki bezpieczeństwa; powierzenie przetwarzania nie znosi obowiązków administratora. Brak analizy ryzyka, nadzoru i właściwej konfiguracji może skutkować ujawnieniem danych i sankcjami.

Źródło: UODO – aktualności.

Jeżeli juz odwiedziłeś naszą stronę - zapraszamy do przejrzenia cennika usług!