LexDigital

​Kary RODO - skąd tyle szumu wokół kar finansowych?

25 maja 2022 miną 4 lata odkąd zaczęło obowiązywać ogólne rozporządzenie UE o ochronie danych osobowych (RODO). Lista administracyjnych kar finansowych nałożonych przez europejskie organy nadzorcze w związku z naruszeniami RODO, w Polsce i w całej Unii Europejskiej, jest naprawdę ogromna. Od maja 2018 do kwietnia 2022 roku opublikowano ponad 1100 decyzji wydanych przez organy nadzorcze właściwe danemu państwu (stan na 13 kwietnia 2022).

​Kary RODO - skąd tyle szumu wokół kar finansowych?

Czego dowiesz się z tego artykułu?

  • Jakie są zasady nakładania kar finansowych w związku z RODO?

  • Jak wygląda procedura nakładania kar przez urząd?

  • Jaka jest ich wysokość od początku wejścia rozporządzenia w życie?

  • Jakie są najwyższe kary nałożone w Polsce i Europie?

Ponad 1100 kar przez 4 lata obowiązywania RODO

Statystyki

25 maja 2022 miną 4 lata odkąd zaczęło obowiązywać ogólne rozporządzenie UE o ochronie danych osobowych (RODO). Lista administracyjnych kar finansowych nałożonych przez europejskie organy nadzorcze w związku z naruszeniami RODO, w Polsce i w całej Unii Europejskiej, jest naprawdę ogromna. Od maja 2018 do kwietnia 2022 roku opublikowano ponad 1100 decyzji wydanych przez organy nadzorcze właściwe danemu państwu (stan na 13 kwietnia 2022). Mając na uwadze dynamikę związaną z liczbą kar nakładanych przez europejskie organy nadzorcze, w tym przez polski Urząd Ochrony Danych Osobowych (UODO) postanowiliśmy przygotować dla Was informacje o zasadach i procedurze nakładania kar, zestawienia najważniejszych kar a także przygotować rejestr kar RODO na polskim rynku, który będziemy dla Was na bieżąco aktualizować.

Po co w ogóle te kary?

Kary finansowe mają na celu odstraszanie organizacji przed nieuczciwymi praktykami związanymi z przetwarzaniem danych osobowych. Należy pamiętać, że w przypadku wykrycia naruszenia wymagań RODO przez organizację organ nadzorczy może, ale nie musi nałożyć administracyjną karę pieniężną. Organ posiada bowiem szereg innych środków naprawczych, które może zastosować i nałożyć na organizację, np. upomnienie czy wprowadzenie ograniczenia przetwarzania danych. Administracyjna kara pieniężna uznawana za najbardziej dotkliwy środek i  jest nakładana wówczas kiedy inne środki zostaną uznane za niewystarczające.

Zasady nakładania kar

Górne granice sankcji wskazanych przez RODO to 20 milionów euro lub do 4>#/strong### wartości całkowitego rocznego światowego obrotu przedsiębiorstwa w przypadku:

  1. Naruszenia zasad dotyczących przetwarzania danych osobowych (Art. 5)
  2. Naruszenia warunków wyrażenia zgody na przetwarzanie danych (Art. 7)
  3. Naruszenia wykonania prawa dostępu przysługującego osobie, której dane dotyczą (Art. 15)
  4. Naruszenia wykonania prawa do sprostowania i usuwania danych Art. 16

Drugi obowiązujący próg to 10 milionów euro lub do 2>#/strong### wartości całkowitego rocznego światowego obrotu przedsiębiorstwa w przypadku:

  1. Art. 25 Naruszenia zasad ochrony danych osobowych w fazie projektowania (privacy by design) oraz domyślna ochrona danych (privacy by default)
  2. Art. 29 Naruszenia wymogu w zakresie przetwarzanie z upoważnienia administratora lub podmiotu przetwarzającego
  3. Art. 30 Naruszenie wymogu w zakresie rejestrowanie czynności przetwarzania
  4. Art. 31 Brak współpracy z organem nadzorczym
  5. Art. 32 Naruszenie zasad ochrony danych osobowych w zakresie bezpieczeństwa przetwarzania

Jak przebiega procedura nakładania kar RODO?

Kary za naruszenie, złamanie lub nieprzestrzeganie przepisów RODO nakładane są w Polsce przez UODO w drodze decyzji administracyjnej. Każda sprawa rozpatrywana jest przez Urząd indywidualnie, z uwzględnieniem okoliczności popełnionego czynu.

Od każdej decyzji Prezesa Urzędu Ochrony Danych Osobowych administrator może odwołać się do sądu administracyjnego. Należy jednak pamiętać, że od momentu uprawomocnienia się orzeczenia obowiązuje 14-dniowy termin spłaty. Ponadto każda organizacja na którą nałożono karę może złożyć wniosek o odroczenie płatności bądź rozłożenie jej na raty.

Od czego zależy wysokość kary?

Wysokość kary zależna jest m.in. od następujących czynników:

  • charakter naruszenia i waga czynu,
  • czas trwania naruszenia,
  • liczba poszkodowanych osób i rozmiar poniesionej przez nich szkody,
  • kategoria danych osobowych, których dotyczyło naruszenie przepisów RODO,
  • rodzaj działań podjętych w celu zminimalizowania szkody,
  • stopień odpowiedzialności administratora danych lub podmiotu przetwarzającego dane (z uwzględnieniem wdrożonych przez nich środków technicznych i organizacyjnych),
  • stopień współpracy z organem nadzorczym,
  • sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, a w szczególności czy i w jakim zakresie administrator lub podmiot przetwarzający zgłosili naruszenie.

Kary RODO w liczbach - statystyki nie budzą wątpliwości

Przez ostatnie 4 lata organy nadzorcze Państw należących do Unii Europejskiej wydały wiele decyzji o nałożeniu kar za nieprzestrzeganie RODO. Łącznie w krajach UE i Wielkiej Brytanii nałożono 1123 kar na kwotę 1,619,295,046 euro (stan na kwiecień 2022 roku). 

Rejestr kar w Europie

Pierwsze sankcje za nieprzestrzeganie wymogów rozporządzenia zostały nałożone w Europie już w lipcu i wrześniu 2018 roku. Pierwsza z nich została nałożona przez portugalski organ nadzorczy na podmiot leczniczy za nieprawidłowości dotyczące dostępu do systemu zarządzania danymi medycznymi pacjentów (400 tysięcy euro). Jednymi z głośniejszych decyzji wydanych w pierwszym roku obowiązywania RODO były również decyzje brytyjskiego organu nadzorczego dotyczące lotniska Heathrow oraz Facebooka.

Najwyższa z dotychczasowych kar została nałożona w lipcu 2021 roku w Luksemburgu na europejską spółkę Amazon Inc. Kara w wysokości 746 000 000 euro jest wynikiem postępowania, które zostało wszczęte po skardze francuskiej organizacji zajmującej się cyfrowymi prawami i wolnością obywateli (La Quadrature du Net). Postępowanie dotyczyło sposobu w jaki spółka uzyskiwała zgody na spersonalizowane reklamy.

Z kolei we wrześniu 2021 irlandzki organ nadzorczy nałożył karę w wysokości 225 000 000 euro na WhatsApp Ireland Ltd. za to, że spółka niewystarczająco poinformowała swoich użytkowników o tym, w jaki sposób dzieli się ich danymi z Facebookiem i innymi usługami należącymi do grupy kalifornijskiego giganta. W decyzji podkreślono wagę przejrzystego informowania przez administratorów danych osobowych, co zamierzają zrobić z gromadzonymi przez siebie danymi.

TOP 5 Kar nałożonych w Europie (stan na kwiecień 2022)

Top 5 kar RODO

Top 5 kar RODO w Unii Europejskiej:

  1. Luksemburg, Amazon Europe Core S.à.r.l., kwota 746,000,000 euro, data: 16.07.2021; kara za sposób w jaki spółka uzyskiwała zgody na spersonalizowane reklamy.
  2. Irlandia, WhatsApp Ireland Ltd., kwota 225,000,000 euro, data: 02.09.2021; kara za to, że spółka niewystarczająco poinformowała swoich użytkowników o tym, w jaki sposób dzieli się ich danymi z Facebookiem.
  3. Francja, Google LLC, kwota 90,000,000 euro, data: 31.12.2021; kara za utrudnianie internautom korzystania z internetu poprzez niezgodę na cookies.
  4. Francja, Facebook Ireland Ltd., kwota 60,000,000 euro, data: 31.12.2021; kara za utrudnianie internautom korzystania z internetu poprzez niezgodę na cookies.
  5. Francja, Google Ireland Ltd., kwota 60,000,000 euro, data: 31.12.2021; kara za utrudnianie internautom korzystania z internetu poprzez niezgodę na cookies.

    Źródło: https://www.enforcementtracker.com/

Rejestr kar w Polsce

Jak dokładnie wygląda rejestr kar RODO w naszym kraju po prawie czterech latach od wprowadzenia przepisów?

Polski Urząd Ochrony Danych Osobowych (UODO) w ciągu ostatnich 4 lat wydał 37 decyzji o nałożeniu kar finansowych: 8 w 2019 roku, 11 w 2020 roku, 15 w 2021 i 3 w okresie od stycznia do kwietnia 2022, na łączną kwotę ponad 3 mln euro (prawie 14 mln złotych).

Statystyki dotyczące administracyjnych kar finansowych nałożonych przez Prezesa UODO w latach 2019, 2020, 2021 oraz w okresie od I do IV 2022 roku

Najczęściej administracyjne kary finansowe są nakładane w Polsce za:

  • niezgłoszenie naruszenia w wymaganym czasie,
  • uniemożliwienie przeprowadzenia kontroli,
  • nieudzielenie informacji i brak współpracy z Prezesem UODO,
  • brak współpracy z UODO w czasie prowadzenia czynności kontrolnych,
  • brak monitorowania zabezpieczeń przez IOD, wyciek danych osobowych,
  • przetwarzanie danych niezgodnie z prawem, bezprawne udostępnienie danych,
  • brak technicznych i organizacyjnych środków bezpieczeństwa przetwarzanych danych.

W lutym 2022 roku Prezes Urzędu Ochrony Danych Osobowych nałożył rekordową w historii funkcjonowania Urzędu karę w wysokości ponad 4,9 mln złotych dla Fortum Marketing and Sales Polska S.A. za niewdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych oraz brak weryfikacji podmiotu przetwarzającego.

Kolejną z szeroko komentowanych decyzji Urzędu była kara nałożona na ClickQuickNow sp. z o.o. w październiku 2019 roku na kwotę 201 559,50 złotych. Kara została nałożona za utrudnianie realizacji prawa do wycofania zgody na przetwarzanie danych osobowych. W uzasadnieniu decyzji wskazano, że Spółka nie wdrożyła odpowiednich środków technicznych i organizacyjnych, które umożliwiałyby łatwe i skuteczne wycofanie zgody na przetwarzanie danych osobowych oraz realizację prawa do żądania usunięcia danych osobowych (prawa do bycia zapomnianym).

Zgodnie z informacjami, które udało się uzyskać serwisowi money.pl od Urzędu Ochrony Danych Osobowych dotychczas zostały zapłacone 4 kary łączną kwotę 150 tys. zł. (stan na luty 2022 roku). W przypadku 27 kar nie ma jeszcze obowiązku zapłaty tych kar, gdyż decyzje je nakładające nie są prawomocne. Wynika to z faktu, że ukarane podmioty złożyły do sądu administracyjnego skargi na te decyzje, a w momencie złożenia skargi nie ma obowiązku zapłaty kary. W przypadku kilku skarg nie upłynął jeszcze termin na złożenie skargi. Natomiast jedna kara jest niemożliwa do wyegzekwowania ponieważ ukarana spółka została zlikwidowana i wykreślona z KRS.

Szczegółowy wykaz kar nałożonych przez UODO znajdziecie tutaj (link do tabeli)

TOP 5 Kar nałożonych przez UODO w Polsce (stan na kwiecień 2022)

Top 5 kar RODO w Polsce:

  1. Fortum Marketing and Sales Polska S.A., kwota: 1,000,000 euro (4,9 mln zł), data: 19.01.2022, kara za niewdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych oraz brak weryfikacji podmiotu przetwarzającego.
  2. Morele.net sp. z o.o., kwota: 660,000 euro (2,8 mln zł), data: 10.09.2019, ukarano spółkę ponieważ zastosowane przez nią środki organizacyjne i techniczne ochrony danych osobowych nie były odpowiednie do istniejącego ryzyka związanego z ich przetwarzaniem, przez co dane około 2 mln 200 tys. osób dostały się w niepowołane ręce.
  3. Virgin Mobile Polska Sp. z o.o., kwota: 443,000 euro (1,9 mln zł), data: 03.12.2020, kara za niewdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych za pomocą systemów informatycznych służących do rejestracji danych osobowych abonentów usług przedpłaconych, co doprowadziło do uzyskania przez osobę nieuprawnioną dostępu do tych danych.
  4. Cyfrowy Polsat S.A., kwota: 245,000 euro (1,1 mln zł), data: 22.04.2021, kara za niewdrożenie odpowiednich środków technicznych i organizacyjnych przy współpracy z firmą kurierską. Efektem tego były liczne naruszenia identyfikowane z dużym opóźnieniem.
  5. ID Finance Poland Sp. z o.o. w likwidacji, kwota: 235,300 euro (1 mln), data: 17.12.2020, kara za niewdrożenie zarówno w fazie projektowania procesu przetwarzania jak  i w czasie samego przetwarzania, odpowiednich środków technicznych i organizacyjnych odpowiadających ryzyku naruszenia zdolności do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemu przetwarzania danych osobowych

Podsumowanie

Grzywny nakładane przez europejskie organy nadzorcze opiewają na coraz większe sumy, co pokazuje jak wnikliwie przeprowadzane są kontrole i jak poważnie należy podejść do tematu ochrony danych osobowych, które przetwarzane są przez administratorów. Kary nakładane są na podmioty zarówno z sektora publicznego jak i prywatnego, ponadto niezależne od wielkości, branży czy specyfiki danej organizacji. Dlatego, aby uniknąć kar finansowych, każda organizacja powinna dostosować się do wymogów rozporządzenia.

Polecane

System zarządzania bezpieczeństwem informacji

System zarządzania bezpieczeństwem informacji

Czym jest system zarządzania bezpieczeństwem informacji? Dlaczego informacja jest tak cennym aktywem dla każdej organizacji? Czy norma ISO 27001 jest trudna do wdrożenia? Czy korzyści z posiadania certyfikatu ISO 27001 będą adekwatne do pracy włożonej we wdrożenie systemu bezpieczeństwa informacji?

Przetwarzanie danych osobowych w projektach IT

Przetwarzanie danych osobowych w projektach IT

Przetwarzanie danych osobowych to bardzo pojemna definicja. Niezbędne jest aby zrozumieć, w których przypadkach mówimy o przetwarzaniu danych osobowych, aby zagwarantować tej czynności przetwarzania odpowiedni poziom bezpieczeństwa. Przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych od momentu ich pozyskania aż do momentu ich usunięcia czy zniszczenia.

Komu można udostępnić nagranie z monitoringu?

Komu można udostępnić nagranie z monitoringu?

Z monitoringiem wizyjnym spotykamy się na co dzień. Czy to w pracy, centrach handlowych i na parkingach, czy na ulicach. Przekraczając granice każdego większego miasta widzimy tabliczki informujące "miasto monitorowane", a na niektórych budynkach zauważamy już prywatne systemy nadzoru. Ale czy każdy może uzyskać dostęp do tych kamer i komu możemy udostępnić nagranie?

Popularne

Wdrożenie ISO

Wdrożenie ISO

Uzyskanie certyfikatu zgodności z wytycznymi międzynarodowych norm ISO 9001, ISO/IEC 27001 czy ISO 22301 jest dowodem stosowania przez wybraną organizację wysokich standardów zarządzania oraz troski o bezpieczeństwo informacji czy ochronę danych. Pozwala m.in. na efektywne wykorzystywanie zasobów, wyeliminowanie lub ograniczanie sytuacji kryzysowych, optymalizację przebiegu procesów, umacnianie kontaktów z klientami, czy podnoszenie jakości świadczonych usług i produkowanych wyrobów.

Kontakt z UODO

Kontakt z UODO

W każdej organizacji przetwarzającej znaczące ilości danych osobowych kontakt z organem nadzorczym jest nieunikniony. Utrzymywanie odpowiednich relacji, wysokiego poziomu merytorycznego korespondencji oraz spełnianie wymogów proceduralnych ma bezpośredni wpływ na wynik spraw i postępowań. Profesjonalna komunikacja może często skrócić czas potrzebny na podjęcie decyzji przez Urząd, pomaga uchronić się od kar i problemów prawnych.

Chcesz skorzystać z naszej oferty?Nie czekaj!

Wspieramy przedsiębiorców

Skontaktuj się osobiście z doradcą LexDigital - odpowiemy na nurtujące Cię pytania, zaplanujemy spotkanie, przygotujemy spersonalizowaną ofertę dopasowaną do potrzeb Twojej organizacji.

Zapraszamy do kontaktu

Informujemy, że Państwa zgoda może zostać cofnięta w dowolnym momencie przez wysłanie wiadomości e-mail na adres naszego Inspektora Ochrony Danych iod@lexdigital.pl spod adresu, którego zgoda dotyczy.

Administratorem Państwa danych osobowych jest LexDigital Sp. z o.o. z siedzibą w Poznaniu (60-363), przy ul. Grodziska 8. Wszystkie pytania i wątpliwości prosimy kierować do naszego Inspektora Ochrony Danych na adres iod@lexdigital.pl

Państwa dane przetwarzane są w celu odpowiedzi na wiadomość wysłaną za pomocą formularza kontaktowego, podjęcia na Państwa wniosek określonych działań przed zawarciem umowy lub wysłania Państwu treści marketingowych. Przysługuje Państwu prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, wniesienia sprzeciwu i cofnięcia w każdym momencie udzielonej zgody bez wpływu na zgodność z prawem przetwarzania danych, którego dokonano na podstawie zgody przed jej wycofaniem. Masz również prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.

Więcej informacji na temat przetwarzania danych osobowych znajdziecie Państwo w naszej Polityce prywatności.

komputronik biofarm lpp apart wykop volkswagen tpay netguru novol pearson impel phyto-pharm veolia cuf-podatki talex gethero tesgas uep fibaro akademia-kozminskiego bilety24 bims cichy-zasada currency >
<img src= kir ministerstwo cyfryzacji pierre-fabre polomarket porr przelewy24 swiss-krono vox wielkopolska-izba-lekarska wsb wtk