UODO wymierza kary za niezgłoszenie utraty danych

2 lata temu

Spółka produkcyjna (https://www.uodo.gov.pl/pl/138/2393) musi zapłacić karę wynoszącą blisko 16 tys. zł. Decyzję taką podjął organ nadzorczy, a jej przyczyną było niezgłoszenie do Urzędu Ochrony Danych Osobowych (UODO) faktu naruszenia danych osobowych. Chodziło o zdarzenie związane z utratą świadectwa pracy osoby zatrudnionej.

Ujawniono nieprawidłowości związane z przetwarzaniem danych

Informację o podejrzeniu pewnych nieprawidłowości związanych z przetwarzaniem danych osobowych przez spółkę, UODO otrzymał od Komendanta Powiatowego Policji. Firma wezwana została do złożenia wyjaśnień w tej sprawie. Ustalono, że doszło do zagubienia akt osobowych jednego z pracowników. Mowa tu o świadectwie pracy.

Spółka przyznała się do zagubienia świadectwa pracy swojego pracownika

Przedstawiciele firmy potwierdzili, że doszło do naruszenia ochrony danych osobowych, wynikającego z zagubienia przez pracodawcę świadectwa pracy zatrudnionej osoby. Podkreślili jednak przy tym, że sprawa nie została zgłoszona do UODO, ponieważ ich zdaniem zdarzenie nie stanowiło naruszenia praw bądź wolności zainteresowanego pracownika. Został on powiadomiony o zaistniałej sytuacji, z której tytułu nie zgłosił żadnych roszczeń.

Świadectwo pracy ważnym nośnikiem danych osobowych

Jak wykazał audyt danych osobowych przeprowadzony przez UODO, stanowisko spółki, zgodnie z którym całe zdarzenie nie stanowiło naruszenia ochrony danych osobowych, nie było zasadne. Informacje stanowiące przedmiot świadectwa pracy, stanowią bowiem dane osobowe. Obejmują one podstawowe dane, takie jak dane personalne i miejsce zamieszkania, jak również informacje mające znaczenie z perspektywy praw bądź wolności osoby, której się one tyczą. Mowa tu, chociażby o informacjach na temat ustania stosunku pracy, mogące pośrednio lub bezpośrednio ujawniać pewne szczegóły dotyczące życia prywatnego danego pracownika.

Ryzyko bezprawnego wykorzystania danych

O każdej sytuacji niosącej ze sobą ryzyko naruszenia praw lub wolności osoby, administrator danych powinien poinformować organ nadzorczy. Nie ma przy tym znaczenia, czy dane faktycznie trafiły w niepowołane ręce. Istotny jest bowiem fakt, że zaszło takie ryzyko. Nie zgłaszając faktu zagubienia świadectwa pracy, spółka nie wywiązała się ze zobowiązań wynikających z wdrożenia RODO.

Dokument będący przedmiotem sprawy, czyli świadectwo pracy, nie zostało odnalezione do chwili wydania decyzji. Mając na uwadze wszystkie zaistniałe okoliczności, organ nadzorczy nałożył na spółkę karę w kwocie 15 994 zł. Naruszenie danych osobowych lub chociażby ryzyko takiego naruszenia wymaga niezwłocznego zgłoszenia tego faktu odpowiednim organom, nie później niż w ciągu 72 godzin. Ma to na celu zapewnienie odpowiedniej ochrony przed niepożądanymi działaniami, osobom których dotyczy naruszenie. Decyzja nie jest prawomocna, spółka z pewnością będzie odwoływać się do Sądu Administracyjnego.