Podstawa prawna naruszenia

Art. 28 RODO.

Niewystarczająca zgoda na przetwarzanie danych.

Przyczyna naruszenia

Burmistrz Aleksandrowa Kujawskiego naruszył przepisy dotyczące ochrony danych osobowych, w szczególności ze względu na:

1. brak umów powierzenia danych osobowych z podmiotami zewnętrznymi, które przetwarzały dane w ramach Biuletynu Informacji Publicznej (BIP),
2. brak polityk dotyczących przetwarzania danych w BIP, co skutkowało przechowywaniem danych osobowych dłużej niż to konieczne,
3. brak wdrożenia odpowiednich środków technicznych i organizacyjnych w celu zabezpieczenia danych osobowych, w tym brak kopii zapasowych nagrań sesji Rady Miasta przechowywanych na YouTube,
4. brak przeprowadzenia analizy ryzyka związanego z korzystaniem z kanału YouTube do transmisji i przechowywania nagrań sesji Rady Miasta,
5. braki w rejestrze czynności przetwarzania danych osobowych, w tym brak wskazania wszystkich odbiorców danych oraz planowanych terminów usunięcia danych.

Opis wydarzeń

1. Kontrola UODO: W dniach 28 stycznia – 1 lutego 2019 r. przeprowadzono kontrolę zgodności przetwarzania danych osobowych przez Burmistrza Aleksandrowa Kujawskiego.
2. Stwierdzenie naruszeń: Kontrola wykazała liczne uchybienia, w tym brak umów powierzenia danych, brak polityk przetwarzania danych, niewdrożenie odpowiednich środków zabezpieczających oraz braki w rejestrze czynności przetwarzania danych.
3. Postępowanie administracyjne: W czerwcu 2019 r. Prezes UODO wszczął postępowanie administracyjne w celu wyjaśnienia okoliczności sprawy.
4. Decyzja UODO: Nałożono na Burmistrza karę pieniężną w wysokości 40 000 zł oraz nakazano dostosowanie operacji przetwarzania danych do przepisów RODO w terminie 60 dni.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

1. Umowy powierzenia: Zawarcie umów powierzenia danych osobowych z podmiotami zewnętrznymi, które przetwarzają dane w ramach BIP.
2. Retencja danych: Wdrożenie polityk przetwarzania danych określających okresy przechowywania danych oraz terminy ich usuwania.
3. Analiza ryzyka: Przeprowadzenie analizy ryzyka związanego z korzystaniem z kanału YouTube oraz wdrożenie odpowiednich środków zabezpieczających.
4. Wdrożenie środków technicznych i organizacyjnych: Wdrożenie środków technicznych i organizacyjnych mających na celu zabezpieczenie danych osobowych, w tym tworzenie kopii zapasowych nagrań sesji Rady Miasta.
5. Rejestr czynności przetwarzania: Aktualizacja rejestru czynności przetwarzania danych osobowych poprzez wskazanie wszystkich odbiorców danych oraz planowanych terminów usunięcia danych.

Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu