Podstawa prawna naruszenia

Art. 7, art. 12, art. 13, art. 14, art. 15, art. 21 RODO.

Niedostateczna realizacja praw osób, których dane dotyczą.

Przyczyna naruszenia

Naruszenie dotyczyło nieprzestrzegania przepisów dotyczących ochrony danych osobowych przez firmę Électricité de France (EDF). Główne zarzuty obejmowały brak odpowiedniego uzyskania zgody na przetwarzanie danych osobowych w celach marketingowych, niewystarczające informowanie osób o przetwarzaniu ich danych oraz niedostateczne zabezpieczenie danych osobowych.

Opis wydarzeń

1. Kontrola i skargi: Francuski organ nadzorczy (CNIL) otrzymał kilka skarg dotyczących naruszeń praw do ochrony danych osobowych przez EDF. Przeprowadzono kontrolę online oraz wysłano pytania do EDF, na które firma odpowiedziała.
2. Brak zgody na marketing: EDF nie była w stanie udowodnić, że uzyskała ważną zgodę na przetwarzanie danych osobowych w celach marketingowych od osób, których dane pochodziły od pośredników.
3. Niewystarczająca informacja: EDF nie dostarczała wystarczających informacji osobom, których dane były przetwarzane, w szczególności dotyczących źródła danych oraz okresu ich przechowywania.
4. Problemy z realizacją praw osób: EDF miała trudności z odpowiednim i terminowym realizowaniem praw osób do dostępu do danych oraz sprzeciwu wobec przetwarzania danych.
5. Niedostateczne zabezpieczenia danych: Stwierdzono, że hasła użytkowników były przechowywane w sposób nieodpowiednio zabezpieczony, co stanowiło ryzyko dla bezpieczeństwa danych.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

1. Poprawa procedur uzyskiwania zgody: Zaleca się wprowadzenie bardziej rygorystycznych procedur uzyskiwania i dokumentowania zgody na przetwarzanie danych osobowych w celach marketingowych.
2. Zwiększenie przejrzystości informacji: Należy zapewnić, aby osoby, których dane są przetwarzane, były w pełni informowane o źródle danych, celach przetwarzania oraz okresie przechowywania danych.
3. Usprawnienie realizacji praw osób: Konieczne jest wprowadzenie skuteczniejszych mechanizmów umożliwiających terminowe i dokładne realizowanie praw osób do dostępu do danych oraz sprzeciwu wobec przetwarzania danych.
4. Wzmocnienie zabezpieczeń danych: Zaleca się zastosowanie bardziej zaawansowanych metod zabezpieczania danych, takich jak silniejsze algorytmy haszujące i regularne audyty bezpieczeństwa.

Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu