KOMPAS FORSAFE 2026/36

Podstawa prawna naruszenia

Art. 5 ust. 1 lit. a), ust. 2, art. 44, art. 46 RODO.

Niewystarczająca podstawa prawna przetwarzania danych.

Przyczyna naruszenia

Przyczyną naruszenia było przekazywanie danych osobowych użytkowników aplikacji Yango przez spółkę Ridetech International B.V. (oraz jej następcę prawnego MLU B.V.) do podmiotów zlokalizowanych w Rosji, pomimo braku zapewnienia odpowiednich zabezpieczeń wymaganych przez RODO.

Opis wydarzeń

Przyczyny wszczęcia kontroli: Postępowanie zostało zainicjowane w wyniku sygnałów przekazanych przez fiński organ nadzorczy w latach 2021–2022, dotyczących możliwego niezgodnego z RODO przekazywania danych osobowych użytkowników aplikacji Yango do Rosji. Sprawa miała charakter transgraniczny i do postępowania dołączyły również organy nadzorcze z Norwegii, a następnie formalne dochodzenie wszczęła holenderska Autoriteit Persoonsgegevens jako wiodący organ nadzorczy.
Model biznesowy i zakres przetwarzania danych: Ridetech International B.V. prowadziła działalność polegającą na udostępnianiu aplikacji Yango, łączącej kierowców z klientami zamawiającymi przejazdy. W ramach tej działalności przetwarzano szeroki zakres danych osobowych użytkowników i kierowców, w tym dane identyfikacyjne, kontaktowe, lokalizacyjne, dane dotyczące aktywności w aplikacji, a także dane finansowe. Dane te były następnie przekazywane do podmiotów powiązanych z grupy Yandex, zlokalizowanych w Rosji.
Systemowy transfer danych do państwa trzeciego: Od 23 maja 2022 r. dane osobowe użytkowników z Finlandii i Norwegii były przekazywane poza Europejski Obszar Gospodarczy do odbiorców w Rosji. Transfer ten miał charakter ciągły i był integralnym elementem funkcjonowania usługi.
Niewłaściwa podstawa prawna transferu: Administrator opierał się na standardowych klauzulach umownych, jednak zastosowane środki techniczne i organizacyjne nie zapewniały poziomu ochrony równoważnego temu, który obowiązuje w Europejskim Obszarze Gospodarczym. Dodatkowo zastosowano niewłaściwy moduł SCC (relacja administrator–procesor zamiast administrator–administrator), co samo w sobie oznaczało brak spełnienia wymogów art. 46 RODO.
Brak adekwatnych zabezpieczeń w okresie początkowym: Do 27 listopada 2023 r. dane osobowe były wprawdzie szyfrowane, jednak klucze szyfrujące były przechowywane na tych samych serwerach w Rosji co dane. W praktyce oznaczało to możliwość ich odszyfrowania przez odbiorcę i brak rzeczywistego poziomu zabezpieczenia.
Nieskuteczność późniejszych działań naprawczych:Po zmianach wdrożonych pod koniec 2023 r. (m.in. przechowywanie kluczy w UE, pseudonimizacja danych, wzmocnienie środków technicznych), organ nadzorczy uznał, że nadal możliwa jest identyfikacja osób fizycznych. W szczególności zwrócono uwagę na powiązania organizacyjne między podmiotami oraz dostęp do danych w ramach jednej struktury korporacyjnej.
Ryzyko dostępu organów publicznych państwa trzeciego: Holenderski organ nadzorczy podkreślił, że obowiązujące w Rosji przepisy umożliwiają organom publicznym dostęp do danych przetwarzanych przez podmioty działające na jej terytorium. W praktyce oznacza to realne ryzyko ingerencji władz w dane użytkowników, którego zastosowane przez administratora środki nie eliminowały.
Brak skutecznych środków ochrony praw osób: Osoby, których dane były przekazywane, nie miały zapewnionych skutecznych środków prawnych ani możliwości dochodzenia swoich praw w państwie trzecim. Dodatkowo organ nadzorczy wskazał na brak niezależnego systemu nadzoru nad przetwarzaniem danych w Rosji.
Długotrwały i systemowy charakter naruszenia: Naruszenie miało charakter ciągły (od 2022 r. do momentu wydania decyzji) i obejmowało dużą skalę przetwarzania danych w ramach działalności biznesowej, co znacząco zwiększyło jego wagę. Było ono wynikiem przyjętego modelu biznesowego i architektury przetwarzania danych, a nie incydentalnego błędu.
Ocena organu nadzorczego: Holenderski organ nadzorczy uznał naruszenie za poważne, systemowe i długotrwałe, wskazując na brak zapewnienia równoważnego poziomu ochrony danych przy transferze do państwa trzeciego. W konsekwencji nałożono karę administracyjną w wysokości 100 000 000 EUR oraz zakaz dalszego transferu danych do Rosji.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

Rzetelna ocena transferów międzynarodowych: Przed przekazaniem danych do państwa trzeciego niezbędne jest przeprowadzenie szczegółowej analizy ryzyka (TIA), uwzględniającej zarówno przepisy prawa lokalnego, jak i realne możliwości dostępu organów państwowych.
Dobór właściwego instrumentu prawnego: Standardowe klauzule umowne muszą być dobrane odpowiednio do relacji między stronami (administrator–administrator, administrator–procesor itp.). Błędny wybór SCC oznacza brak ważnej podstawy transferu.
Zapewnienie rzeczywistej, a nie pozornej ochrony danych: Stosowane mechanizmy (szyfrowanie, pseudonimizacja) muszą uniemożliwiać odtworzenie danych przez odbiorcę lub osoby trzecie. Sam fakt szyfrowania nie jest wystarczający, jeśli klucze pozostają dostępne.
Analiza struktury grupy kapitałowej: Powiązania organizacyjne, wspólne zarządzanie czy dostęp tych samych osób do danych mogą podważać skuteczność zastosowanych zabezpieczeń.
Uwzględnienie lokalnych regulacji państwa trzeciego: Jeżeli prawo państwa odbiorcy przewiduje szerokie uprawnienia organów publicznych do dostępu do danych, należy uznać, że standardowe zabezpieczenia mogą być niewystarczające.
Weryfikacja możliwości dochodzenia praw przez osoby fizyczne: Transfer danych nie powinien mieć miejsca, jeśli osoby, których dane dotyczą, nie mają realnych i skutecznych środków ochrony swoich praw w danym państwie.