02/04/2024
💬Kurierowi ukradziono paczkę z hasłami do konta. Bank tego nie zgłosił, teraz zapłaci bajońską karę
Urząd Ochrony Danych Osobowych nałożył 1,44 mln złotych kary na Santander Bank Polska S.A. Firma została ukarana, ponieważ nie zgłosiła naruszenia ochrony danych ich właścicielom. UODO grzywnę wlepiło też Toyota Bankowi.
Do naruszenia doszło, kiedy firmie kurierskiej skradziono przesyłkę z dokumentami bankowymi. Następnie paczkę porzucono na jednym z osiedli. Znajdujące się w niej dokumenty zawierały między innymi dane osobowe, numery rachunków bankowych czy numery PESEL. UODO o naruszeniu dowiedział się z mediów.
Santander ukarany przez UODO. Chodzi o zgubioną przesyłkę z danymi
Bank tłumaczył, że nie zgłosił tego naruszenia, gdyż przesyłkę znaleziono krótko po kradzieży. Ponadto ustalono, że nie brakowało w niej żadnych dokumentów, a osoba, która znalazła paczkę, zaniosła ją na policję i oświadczyła, że nie kopiowała dokumentów.
Prezes UODO Mirosław Wróblewski ukarał jednak Santander, ponieważ uznał, że ryzyko związane z naruszeniem danych osobowych powinno się oceniać z perspektywy osoby zagrożonej, a nie interesów administratora danych. UODO zwrócił także uwagę, że ponieważ firma nie poinformowała o zajściu, to osoby, których dane ujawniono, nie mogły same ocenić ryzyka, ani zareagować na to naruszenie.
Prezes UODO w toku postępowania uznał też, że znaczenia nie miało również to, że dane zostały udostępnione tylko jednej zidentyfikowanej osobie. Liczy się bowiem fakt, że przesyłka została odnaleziona przez tę osobę. Ponadto administrator nie ma pewności, ile osób mogło wcześniej mieć dostęp do porzuconej przesyłki. Sam fakt kradzieży przesyłki powinien wpłynąć na właściwą i adekwatną do okoliczności ocenę tego incydentu, w tym ocenę pod kątem ryzyka naruszenia praw lub wolności osób fizycznych.
UODO zobowiązał także bank Santander, aby powiadomił o naruszeniu osoby, których ono dotyczyło. Na wysokość kary ustalonej na 1,44 mln zł wpłynęło to, że jest to kolejne naruszenie ochrony danych osobowych w tym banku. W 2022 roku Urząd nałożył na Santander 545 tys. zł kary za naruszenie obowiązku wynikającego z art. 34 ust. 1 RODO tj. obowiązku zawiadomienia o naruszeniu osób, których dane dotyczą.
Toyota Bank również ukarany
UODO ukarał także drugi bank - Toyota Bank Polska S.A. za to, że o półtora roku przekroczył termin wyznaczony na zgłoszenie naruszenia danych osobowych. W tym przypadku kara wyniosła 78 tysięcy złotych.
"Naruszenie polegało na wysłaniu przez bank danych osoby do nieuprawnionego odbiorcy. Zakres danych, zawartych w korespondencji, powodował wystąpienie wysokiego ryzyka dla praw i wolności osoby, której dane ujawniono (np. ryzyko kradzieży tożsamości). W decyzji organ nadzorczy zaznaczył też, że administrator nie ma pewności, czy przed zwrotem korespondencji, błędny odbiorca nie wykonał kopii lub też nie utrwalił zawartych w treści umowy danych osobowych w inny sposób, np. poprzez ich spisanie" - czytamy na stronie UODO.
