Podstawa prawna naruszenia
Art. 5 ust. 1 lit. e), art. 13, art. 25 ust. 2, art. 32, art. 35 RODO.
Nieprzestrzeganie ogólnych zasad przetwarzania danych.
Przyczyna naruszenia
Naruszenie dotyczyło nieprzestrzegania przepisów RODO przez firmę Discord Inc. w zakresie przechowywania danych osobowych, braku odpowiedniej polityki przechowywania danych, niewystarczającej ochrony danych oraz braku przeprowadzenia analizy ryzyka.
Opis wydarzeń
- Kontrola CNIL: W listopadzie 2020 roku francuski organ nadzorczy (CNIL) przeprowadził kontrolę online na stronie internetowej i aplikacji mobilnej Discord.
- Brak polityki przechowywania danych: Stwierdzono, że firma nie miała określonej polityki przechowywania danych, co skutkowało przechowywaniem danych użytkowników przez nieokreślony czas.
- Niewystarczająca ochrona danych: Aplikacja Discord nie informowała użytkowników w sposób wystarczająco jasny o tym, że aplikacja pozostaje aktywna po zamknięciu okna, co mogło prowadzić do nieświadomego udostępniania danych osobowych.
- Brak analizy ryzyka: Firma nie przeprowadziła analizy ryzyka dla przetwarzania danych osobowych, mimo że przetwarzała dane na dużą skalę, w tym dane osób niepełnoletnich.
Źródło
Pełna treść decyzji organu nadzorczego
Aby uniknąć podobnych naruszeń, zalecamy:
- Wdrożenie polityki przechowywania danych: Zaleca się opracowanie i wdrożenie jasnej polityki przechowywania danych, która określa maksymalny czas przechowywania danych osobowych.
- Poprawa transparentności: Należy zapewnić, aby użytkownicy byli w pełni informowani o stanie aplikacji, szczególnie gdy pozostaje ona aktywna w tle.
- Przeprowadzenie analizy ryzyka: Konieczne jest przeprowadzenie analizy ryzyka dla przetwarzania danych osobowych, szczególnie w kontekście dużej skali przetwarzania i danych osób niepełnoletnich.
- Zwiększenie bezpieczeństwa danych: Zaleca się wprowadzenie bardziej rygorystycznych wymagań dotyczących haseł oraz dodatkowych środków bezpieczeństwa, aby zapewnić lepszą ochronę danych osobowych użytkowników.
Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu
