Umowa powierzenia nie zwalnia administratora z ochrony danych

Administrator odpowiada za naruszenie bezpieczeństwa danych, nawet jeśli powierzył ich przetwarzanie innemu podmiotowi.

Tak wynika z decyzji Prezesa Urzędu Ochrony Danych Osobowych (UODO), który ukarał zarówno McDonald’s (prawie 17 mln zł) jak i obsługującą go firmę 24/7 Communication (ponad 183 tys. zł) za nieprawidłowości przy przetwarzaniu danych pracowników.

1.Wyciek danych osobowych w publicznie dostępnym katalogu

Celem powierzenia danych firmie zewnętrznej było zarządzanie grafikami pracy. Firma nie przeprowadziła jednak analizy ryzyka związanego z tym procesem, zarówno przy sporządzaniu umowy (brak odpowiednich zabezpieczeń) jak i jej wdrażaniu i realizacji. Doprowadziło to do wycieku danych osobowych w publicznie dostępnym katalogu. McDonald’s zgłosił ten fakt Prezesowi UODO, wskazując, że w udostępnionym pliku znajdowały się informacje o pracownikach firmy i jej franczyzobiorców, obejmujące:nimiona i nazwiska, numery PESEL, numery paszportów (w przypadku braku numeru PESEL), numer restauracji McDonald’s, czas rozpoczęcia i zakończenia pracy, a więc i liczbę przepracowanych godzin, a także stanowiska służbowe, rodzaj pracy...