Podstawa prawna naruszenia

Art. 15, art. 17, art. 24, art. 32, art. 33 RODO.

Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.

Przyczyna naruszenia

Przyczyną naruszenia było nieodpowiednie zarządzanie danymi osobowymi przez firmę METRO AEBE. Były pracownik firmy wykorzystał dane osobowe klientki (numer telefonu) do celów innych niż realizacja zamówienia, co stanowiło naruszenie zasad ochrony danych osobowych.

Opis wydarzeń

1. Złożenie skargi: Klientka złożyła skargę na firmę METRO AEBE, twierdząc, że jej dane osobowe zostały wykorzystane niezgodnie z przeznaczeniem. Skarga dotyczyła również braku realizacji jej praw do dostępu i usunięcia danych.
2. Przebieg incydentu: Klientka zamówiła produkty z e-sklepu firmy, które miały zostać dostarczone do jej domu. Kurier odmówił wniesienia zakupów do mieszkania, co zmusiło klientkę do ich odbioru na parterze, mimo że była w zaawansowanej ciąży. Po zgłoszeniu skargi do firmy, klientka otrzymała telefon i wiadomość od byłego pracownika firmy, który oskarżył ją o swoje zwolnienie.
3. Działania firmy: Firma METRO AEBE nie podjęła odpowiednich działań w celu zabezpieczenia danych osobowych klientki i nie zgłosiła incydentu do odpowiednich organów nadzorczych. Firma również nie zrealizowała w pełni praw klientki do dostępu i usunięcia danych.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

1. Wdrożenie odpowiednich środków technicznych i organizacyjnych: Rekomendowane jest wdrożenie skutecznych środków technicznych i organizacyjnych w celu ochrony danych osobowych, zgodnie z artykułami 24, 32 i 33 RODO.
2. Szkolenie pracowników: Należy przeprowadzić regularne szkolenia dla pracowników dotyczące ochrony danych osobowych i procedur postępowania w przypadku naruszeń.
3. Zgłaszanie naruszeń: Obligatoryjne jest zgłaszanie wszelkich naruszeń danych osobowych do odpowiednich organów nadzorczych w ciągu 72 godzin od ich wykrycia, zgodnie z artykułem 33 RODO.
4. Realizacja praw podmiotów danych: Zalecane jest zapewnienie pełnej realizacji praw podmiotów danych, w tym prawa do dostępu i usunięcia danych, zgodnie z artykułami 15 i 17 RODO.

Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu