Na Fortum Marketing and Sales Polska S.A. decyzją Prezesa Urzędu Ochrony Danych Osobowych została nałożona administracyjna kara pieniężna w wysokości ponad 4,9 mln zł za niewdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych oraz brak weryfikacji podmiotu przetwarzającego. Karą administracyjną obciążony został także podmiot przetwarzający.
Prezes Urzędu Ochrony Danych Osobowych (dalej „PUODO”) opublikował decyzję wydaną dnia 19 stycznia 2022, mocą której nałożył dwie administracyjne kary pieniężne
- na spółkę Fortum Marketing and Sales Polska S.A. będącą administratorem w wysokości 4 911 732 PLN za naruszenie polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych, skutkującym naruszeniem ich poufności, oraz na braku weryfikacji podmiotu przetwarzającego, czy zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO[2];
- na podmiot przetwarzający – spółkę PIKA Sp. z o.o., w wysokości 250 135 PLN za naruszenie polegające na niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych, w tym zapewnienie ich poufności.
Kara, którą została obciążona spółka Fortum Marketing and Sales Polska S.A. jest najwyższą z dotychczasowych wymierzonych przez PUODO kar administracyjnych.
Jak doszło do wszczęcia postępowania administracyjnego?
Zgodnie ze stanem faktycznym opisanym w decyzji PUODO, Spółka Fortum Marketing and Sales Polska S.A. to podmiot zajmujący się obrotem energią elektryczną i paliwem gazowym. W ramach prowadzonej działalności gospodarczej Fortum Marketing and Sales Polska S.A. współpracuje z PIKA Spółką z o.o., która świadczy na jej rzecz usługę prowadzenia archiwum, w tym archiwum cyfrowego.
Z treści decyzji wynika, że ukarana spółka w kwietniu 2020 roku zgłosiła organowi nadzorczemu naruszenie ochrony danych osobowych. W zgłoszeniu naruszenia wskazano, że doszło do nieuprawnionego „skopiowania danych” klientów administratora, a zdarzenie jest związane z faktem wprowadzenia zmiany w systemie pełniącym rolę archiwum cyfrowego dokumentów i informacji na temat klientów. Zmianę zmierzającą do poprawy wydajności usługi miał przeprowadzać na polecenie administratora dostawca usługi archiwum, podmiot przetwarzający PIKA Spółka z o.o. i polegała ona na utworzeniu oraz instalacji dodatkowej bazy danych klientów administratora danych. Zgłoszone naruszenie dotyczyć miało danych osobowych ponad 100 tysięcy osób oraz obejmować szereg danych zawartych w skopiowanej przez nieuprawnione podmioty bazie, w tym imiona i nazwiska, adresy zamieszkania, numery PESEL, numery dokumentów tożsamości, adresy poboru, numery telefonów, czy też szczegóły zawartych umów z odbiorcami energii.
Po stwierdzeniu naruszenia Administrator zrezygnował z powiadomienia osób, których dane dotyczą o naruszeniu ochrony danych osobowych. Z uwagi na szeroki zakres ujawnionych danych klientów w opinii organu nadzorczego wystąpiło wysokie ryzyko naruszenia praw lub wolności osób fizycznych, stąd organ skierował do administratora wystąpienie, w którym zwrócił się o podjęcie stosownych działań w szczególności mających na celu niezwłoczne zawiadomienie osób, których dane dotyczą, o naruszeniu ich danych osobowych i przekazanie tym osobom zaleceń odnośnie zminimalizowania potencjalnych negatywnych skutków zaistniałego naruszenia. Administrator w odpowiedzi na pismo PUODO poinformował o dokonaniu zawiadomienia osób, których dotyczyło naruszenie. W swoich wyjaśnieniach wskazał, że ujawnione zostały dane łącznie 120 428 osób, z czego o naruszeniu należało zawiadomić 95 711 osób, zaś pozostała liczba to klienci biznesowi oraz osoby zmarłe.
W następstwie zgłoszonego przez administratora naruszenia oraz złożonych wyjaśnień w przedmiocie zgłoszenia naruszenia, PUODO wszczął postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych.
Główne zarzuty
W efekcie przeprowadzonego postępowania administracyjnego na podstawie zgromadzonych dowodów PUODO zidentyfikował nieprawidłowości tak po stronie spółki Fortum Marketing and Sales Polska S.A., jak i spółki PIKA Sp. z o.o.
Głównym zarzutem PUODO podniesionym w decyzji wobec administratora danych był brak weryfikacji podmiotu przetwarzającego dane na jego zlecenie.
Administrator przed naruszeniem nie realizował prawa kontroli, o którym mowa w art. 28 ust. 3 lit. h) RODO, pod kątem zapewnienia przez procesora środków wymaganych w celu zapewnienia bezpieczeństwa przetwarzania. Nie egzekwował od PIKA Sp. z o.o. realizacji postanowień łączących ich umów, nie stosował się do własnej praktyki wdrażania zmian w środowisku IT opartej o wewnętrzne regulacje oraz nie weryfikował podmiotu przetwarzającego w zakresie prowadzonych działań mających na celu usprawnienie funkcjonowania usługi. Zdaniem organu, pomimo zawartej umowy z podmiotem przetwarzającym, przyjęcia odpowiednich wewnętrznych regulacji oraz posiadania wiedzy w zakresie sposobu realizacji zmian w systemach informatycznych, administrator nie realizował swoich obowiązków w zakresie nadzoru nad podmiotem przetwarzającym w trakcie wprowadzania modyfikacji w systemie informatycznym, co w konsekwencji skutkowało swobodą w działaniu podmiotu przetwarzającego. Nienadzorowany w swoim działaniu podmiot przetwarzający dokonywał wdrożenia zmian w systemie informatycznym bez uprzedniego odpowiedniego przetestowania zastosowanych zabezpieczeń oraz zasilił rzeczywistymi danymi osobowymi klientów dodatkową bazę danych, w fazie testowej wdrażanego rozwiązania.
