Podstawa prawna naruszenia

Art. 5 ust. 1 lit. a), c), e), art. 13, art. 22 ust. 3, art. 25, art. 30 ust. 1 lit. c), f), g), art. 32, art. 35, art. 37 ust. 7 RODO.

Nieprzestrzeganie ogólnych zasad przetwarzania danych.

Przyczyna naruszenia

Naruszenie wynikało z niezgodności przetwarzania danych osobowych przez Deliveroo Italy s.r.l. z przepisami RODO. Główne nieprawidłowości dotyczyły braku przejrzystości, nadmiernego gromadzenia danych, niewłaściwego przechowywania danych oraz braku odpowiednich środków bezpieczeństwa.

Opis wydarzeń

1. Czynności kontrolne: W czerwcu 2019 roku włoski organ nadzorczy przeprowadził czynności kontrolne w siedzibie Deliveroo Italy s.r.l., podczas których stwierdzono liczne nieprawidłowości w przetwarzaniu danych osobowych kierowców dostarczających zamówione jedzenie.
2. Stwierdzone nieprawidłowości:
   • Brak przejrzystości: Informacje przekazywane kierowcom były niekompletne i mylące, szczególnie w zakresie geolokalizacji i czasu przechowywania danych.
   • Nadmierne gromadzenie danych: Dane były przechowywane przez zbyt długi okres, bez odpowiedniego uzasadnienia.
   • Brak środków bezpieczeństwa: Systemy informatyczne pozwalały na dostęp do danych kierowców z różnych krajów bez odpowiednich ograniczeń.
   • Profilowanie i automatyczne decyzje: Stosowanie algorytmów do przydzielania zleceń i oceny kierowców bez odpowiednich zabezpieczeń i możliwości odwołania się od decyzji.
3. Skala naruszenia: Naruszenie ochrony danych osobowych dotyczyło łącznie około 8 000 kierowców.
4. Działania naprawcze: W odpowiedzi na zarzuty, Deliveroo Italy podjęło działania mające na celu poprawę zgodności z przepisami o ochronie danych, w tym rezygnację z systemu priorytetowego przydzielania zleceń oraz wprowadzenie nowych polityk przechowywania danych.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

1. Poprawa przejrzystości: Dostarczenie jasnych i szczegółowych informacji na temat przetwarzania danych osobowych, w tym częstotliwości geolokalizacji i okresów przechowywania danych.
2. Ograniczenie przechowywania danych: Przechowywanie danych osobowych tylko przez okres niezbędny do realizacji celów, dla których zostały zebrane.
3. Wzmocnienie środków bezpieczeństwa: Systemy informatyczne powinny być skonfigurowane tak, aby ograniczyć dostęp do danych tylko do uprawnionych osób i tylko w zakresie niezbędnym do wykonywania ich obowiązków.
4. Zabezpieczenia przy profilowaniu: Wprowadzenie mechanizmów umożliwiających odwołanie się od decyzji podejmowanych automatycznie oraz regularne weryfikowanie algorytmów pod kątem ich dokładności i braku dyskryminacji.

Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu