UODO karze Fundację Lumus za ujawnienie danych i konflikt interesów IOD

8 miesięcy temu

Prezes UODO nałożył kary na Fundację Lumus po stwierdzeniu wielu naruszeń przepisów o ochronie danych. Sprawa ujawniła także problemy o charakterze systemowym w organizacjach pozarządowych.

Prezes UODO nałożył administracyjne kary pieniężne na Fundację Lumus, wskazując na liczne uchybienia w przetwarzaniu danych. Postępowanie wszczęto z urzędu po sygnałach od organów terenowych, które wraz z wnioskami o wpis na listę podmiotów prowadzących nieodpłatną pomoc prawną otrzymały niezanonimizowane dokumenty. UODO ustalił, że przekazany zakres danych był nadmiarowy i niewymagany przepisami.

Doszło do nieuprawnionego ujawnienia danych 29 osób, w tym 25 beneficjentów i czterech współpracowników. Obejmowały one m.in. imiona i nazwiska, numery PESEL, adresy, numery telefonów oraz informacje o sytuacji życiowej, prawnej i zdrowotnej. Mimo to administrator nie zgłosił naruszenia w terminie (art. 33 ust. 1 RODO) ani nie powiadomił osób bez zbędnej zwłoki (art. 34 ust. 1 RODO), uzasadniając to niskim ryzykiem. UODO odrzucił tę argumentację, podkreślając, że samo ujawnienie podmiotom nieuprawnionym wywołuje ryzyko i obowiązki.

UODO zakwestionował także usytuowanie inspektora ochrony danych: funkcję IOD pełnił członek zarządu, a następnie prezes, co uznano za konflikt interesów sprzeczny z art. 38 ust. 6 RODO. Krytycznie oceniono fakt zatwierdzenia analizy konfliktu przez osobę nią objętą oraz wskazano naruszenie art. 37 ust. 7 RODO w związku z ustawą o ochronie danych. Organ zwrócił uwagę na „systemowy” wymiar problemów w NGO.

Co to oznacza w praktyce

Ujawnienie danych nieuprawnionym podmiotom, nawet instytucjom publicznym, rodzi ryzyko i obowiązki zgłoszeniowe. Funkcja IOD nie powinna kolidować z rolami kierowniczymi, aby zachować niezależność oceny zgodności.

Źródło: UODO – aktualności.

Jeżeli juz odwiedziłeś naszą stronę - zapraszamy do przejrzenia cennika usług!