Do naruszenia ochrony danych osobowych dochodzi codziennie w setkach firm, ale zgłoszenie sprawy do właściwego organu i wyliczenie realnej kary wymaga znajomości konkretnej procedury. Skargę składa się do Urzędu Ochrony Danych Osobowych, a maksymalna sankcja może wynieść do 20 milionów euro lub 4% globalnego obrotu firmy.
Naruszeniem jest nieuprawniony dostęp do danych osobowych lub ich ujawnienie, a także nieuprawniona modyfikacja albo zniszczenie takich informacji. Do tej kategorii zalicza się również przypadkowe udostępnienie plików z danymi osobowymi podmiotom bez statusu administratora, na przykład pomyłkowe przekazanie dokumentacji medycznej niewłaściwemu pacjentowi.
Naruszeniem jest też ujawnienie danych pracowników, utrata bazy klientów oraz brak realizacji żądania usunięcia danych w wymaganym terminie. Zaniechanie traktuje się równie poważnie jak aktywne działanie prowadzące do wycieku informacji.
Najczęstszą przyczyną tych sytuacji bywa niewłaściwe przestrzeganie zasad przetwarzania danych według RODO w codziennej działalności firmy, niezależnie od jej wielkości i zasobów działu IT.
Skargę na złamanie przepisów składa się do Urzędu Ochrony Danych Osobowych. Prawo to przysługuje osobie, której dane naruszono, jej pełnomocnikowi (w tym prawnikowi specjalizującemu się w przestępstwach komputerowych), a także organizacji zajmującej się ochroną danych osobowych upoważnionej do reprezentowania sprawy.
Skargę składa się w jednej z trzech form:
Do skargi trzeba dołączyć dowody naruszenia: screenshoty, korespondencję mailową lub dokumentację przypadkowego udostępnienia informacji. Przy działaniu przez pełnomocnika wymagane jest potwierdzenie opłaty skarbowej za pełnomocnictwo w wysokości 17 zł.
Po wpłynięciu skargi organ ocenia zasadność zarzutów, charakter naruszenia (umyślne czy nieumyślne), poziom współpracy podmiotu z organem oraz rozmiar poniesionej szkody.
Na tej podstawie Prezes UODO może zobowiązać administratora do przywrócenia stanu zgodnego z prawem, na przykład przez usunięcie danych z bazy, oraz nałożyć karę administracyjną, której wysokość zależy od czynników opisanych w dalszej części artykułu.
Ważne: procedura zgłoszenia skargi do UODO jest bezpłatna. Decyzja zapada zwykle w ciągu miesiąca, w bardziej złożonych sprawach do trzech miesięcy. Od decyzji przysługuje wniosek o ponowne rozpatrzenie sprawy w terminie 14 dni od jej otrzymania.
| Element | Opis |
|---|---|
| Formularz | Dostępny na biznes.gov.pl, zawiera dane skarżącego i opis naruszenia |
| Dowody naruszenia | Screenshoty, maile, dokumenty potwierdzające ujawnienie danych |
| Pełnomocnictwo | Wraz z potwierdzeniem opłaty skarbowej 17 zł, jeśli działa prawnik |
| Dokumentacja chronologii | Zapis komunikacji z administratorem, dowody odmowy realizacji praw |
Kara administracyjna za złamanie regulacji o ochronie danych może osiągnąć 20 milionów euro. Dla przedsiębiorstw maksymalna grzywna wynosi do 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym stosuje się wyższą z tych dwóch kwot.
Polskie organy nadzorcze faktycznie nakładają te sankcje. Jedna z najwyższych kar w Polsce przekroczyła 200 tysięcy euro i dotyczyła pozyskiwania danych z publicznie dostępnych źródeł oraz wykorzystywania ich do celów komercyjnych bez podstawy prawnej.
Inny przypadek dotyczył niewystarczającego zabezpieczenia technicznego systemu informatycznego, co doprowadziło do nieuprawnionego dostępu do danych 2,2 miliona osób. Naruszenie miało miejsce w popularnym sklepie internetowym działającym w całej Polsce, co pokazuje, że nawet firmy z rozbudowaną infrastrukturą IT popełniają błędy w zabezpieczeniu danych.
Organ nadzorczy przy ustalaniu wysokości sankcji bierze pod uwagę:
Podmiot, który zgłasza naruszenie w ciągu 72 godzin od jego wykrycia, współpracuje z organem i podejmuje szybkie działania naprawcze, może liczyć na niższy wymiar kary niż ten, który ignoruje problem lub utrudnia postępowanie.
| Rodzaj naruszenia | Wysokość kary | Branża |
|---|---|---|
| Brak zabezpieczenia systemu IT | 220 000 euro | E-commerce |
| Marketing bez podstawy prawnej | 142 000 zł | Telekomunikacja |
| Udostępnienie danych bez zgody | 90 000 zł | Finanse |
| Brak realizacji prawa do usunięcia | 35 000 zł | Handel detaliczny |
6 komentarzy do “Gdzie zgłosić złamanie RODO, kary za łamanie RODO?”
Witam a co w przypadku gdy jestem pracownikiem sklepu i pracodawca do kamer dołożył mikrofon tak by móc słyszeć o czym rozmawiam z klientami czy jest to legalne ?? czy klienci powinni być informowani o tym fakcie ? oczywiście tabliczka o nagrywaniu wizji jest ale już dźwięku nie.
Jeżeli nie udostępnia tego nigdzie to ma takie prawo , ma prawo nawet to przechowywać tworzyć kopie zapasowe i wysyłać do chmury, jedyne czego nie może to upowszechniać osobom trzecim chyba że są to jakieś dowody w toczącej się sprawie lub dowody przestępstwa.
Witam,a co jeśli pracodawca prowadzi ranking pracowników i wywiesza to na ogólnodostępną tablice ?
A co gdy pesel został wydany przez wydział ksiąg wieczystych wraz z odpisem firmie która planuje prace na działce gdzie jest kilku właścicieli. Dodam że ta firma nie działa w interesie żadnego ze współwłaścicieli nieruchomości.
A co w przypadku gdy w klinice NZOZ zostały udostępnione moje dane: imie, nazwisko, pesel oraz wyniki badań (dane o stanie zdrowia) innemu pacjentowi??
Co można w tej sprawie zrobic. Jakie moga byc kary finansowe dla w/w kliniki. Dziękuję za pomoc oraz informacje.
O własnie ja mam takie samo pytanie odnosnie firmy przeprowadzajacej rekrutacje, która udostepniła dane innego pracownika, adres nr telefonu, nr dowodu osobistego i jeszcze ta bezczelna gówniara mowi ze ktoś ma pretensje! To chyba nie wie jaka jest za to kara finansowa, wiec chyba sie dowie.