1. Realizacja zamówienia i przekazanie danych operatorowi logistycznemu: Sprawa dotyczyła dostawy przesyłki zamówionej przez klienta w sklepie internetowym. Operator logistyczny otrzymał dane osobowe niezbędne do realizacji dostawy, w tym dane identyfikacyjne oraz adresowe odbiorcy.
2. Zmiana sposobu doręczenia przesyłki: Pomimo wskazania adresu dostawy do domu, przesyłka nie została doręczona bezpośrednio odbiorcy, lecz zdeponowana w skrytce paczkowej znajdującej się na terenie nieruchomości, bez uprzedniej zgody osoby, której dane dotyczą.
3. Przekazanie danych osobowych do podmiotu trzeciego: Operator logistyczny przekazał dane osobowe odbiorcy do podmiotu zarządzającego skrytkami paczkowymi. Przekazanie to obejmowało więcej danych, niż było to konieczne do realizacji usługi, w tym dane identyfikacyjne.
4. Brak relacji między osobą a podmiotem trzecim: Odbiorca przesyłki nie był użytkownikiem systemu skrytek i nie pozostawał w żadnej relacji umownej z podmiotem, który otrzymał jego dane. Mimo to został przez ten podmiot poinformowany SMS-em o możliwości odbioru paczki.
5. Rozpoczęcie przetwarzania danych przez podmiot trzeci: Po otrzymaniu danych podmiot zarządzający skrytkami rozpoczął przetwarzanie danych osobowych odbiorcy, m.in. poprzez wysyłkę komunikacji oraz obsługę procesu odbioru przesyłki.
6. Nieprawidłowe określenie relacji między podmiotami: Operator logistyczny i podmiot obsługujący skrytki przyjęli, że działają jako niezależni administratorzy danych i uregulowali swoją współpracę w formie przekazania danych między administratorami.
7. Brak umowy powierzenia przetwarzania danych: Pomiędzy stronami nie zawarto umowy powierzenia przetwarzania danych, mimo że jeden z podmiotów wykonywał operacje przetwarzania w imieniu drugiego i w celu realizacji jego usługi.
8. Naruszenie zasady minimalizacji i poufności danych: W toku realizacji usługi pracownik operatora logistycznego przekazał dane osobowe wykraczające poza zakres niezbędny do realizacji dostawy, co stanowiło nieuprawnione ujawnienie danych osobowych.
9. Ocena organu nadzorczego: Organ nadzorczy uznał, że podmiot logistyczny działał jako administrator danych, a podmiot obsługujący skrytki jako jego podmiot przetwarzający. W konsekwencji brak zawarcia umowy powierzenia oraz nieuprawnione ujawnienie danych stanowiły naruszenie przepisów RODO.
10. Nałożenie sankcji: W wyniku postępowania na administratora nałożono karę pieniężną w wysokości 164 000 EUR oraz zobowiązano go do zawarcia umowy powierzenia przetwarzania danych z podmiotem przetwarzającym.

1. Prawidłowa identyfikacja ról (administrator vs procesor): Organizacje powinny każdorazowo dokonywać analizy ról w procesie przetwarzania danych na podstawie rzeczywistego przebiegu operacji, a nie wyłącznie zapisów umownych lub założeń biznesowych. Kluczowe znaczenie ma ustalenie, kto faktycznie decyduje o celach i środkach przetwarzania danych.
2. Zawarcie umowy powierzenia przetwarzania danych: W przypadku powierzenia przetwarzania danych innemu podmiotowi konieczne jest zawarcie umowy zgodnej z art. 28 RODO. Umowa powinna jednoznacznie określać zakres i cel przetwarzania, obowiązki stron, środki bezpieczeństwa oraz zasady realizacji praw osób, których dane dotyczą.
3. Ograniczenie zakresu przekazywanych danych: Należy wdrożyć mechanizmy zapewniające, że przekazywane są wyłącznie dane niezbędne do realizacji konkretnego celu. Dotyczy to zarówno rozwiązań technicznych, jak i procedur operacyjnych stosowanych przez pracowników.
4. Wdrożenie skutecznej kontroli operacyjnej: Organizacje powinny zapewnić nadzór nad przestrzeganiem procedur przez pracowników, w szczególności w zakresie przekazywania danych osobowych. Konieczne są szkolenia, kontrole oraz mechanizmy ograniczające możliwość błędów ludzkich.
5. Zapewnienie przejrzystości wobec osób, których dane dotyczą: Osoby, których dane dotyczą, powinny być informowane o wszystkich możliwych wariantach realizacji usługi, w tym o przekazywaniu danych podmiotom trzecim oraz zmianie sposobu doręczenia przesyłki.
6. Uwzględnianie RODO jako regulacji nadrzędnej: Analiza procesów powinna uwzględniać przede wszystkim przepisy RODO, a nie wyłącznie regulacje sektorowe. Charakter branży nie zwalnia z obowiązku prawidłowego stosowania zasad ochrony danych osobowych.
7. Regularny przegląd modeli współpracy: Modele współpracy z partnerami biznesowymi powinny być cyklicznie weryfikowane pod kątem zgodności z RODO, szczególnie w przypadku zmian w procesach operacyjnych lub technologicznych.

Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu