Odc. 81 - Kara XXL: Mc Donald's na celowniku UODO

Dzień dobry Państwu, witamy bardzo serdecznie w kolejnym odcinku naszego podcastu RODOłamacz. Z tej strony Tomasz Osiej i Michał Czarnecki. Witamy w imieniu portalu GDPR.pl i firmy konsultingowej Omnimodo, którzy są sponsorami całego tego wydarzenia. Przekroczyliśmy już 80 odcinek, czyli przekroczyliśmy bardzo poważną liczbę. Słuszny wiek. Słuszny wiek, kontynuujemy i dzisiaj jak najbardziej też temat będzie poważny. Zanim powiemy o temacie, zapraszamy Państwa do odszukania nas, do odsłuchiwania i oglądania na YouTube, na Spotify i na Apple Podcast. I od razu powiemy, o czym będziemy mówić. Będziemy mówić o karze, która nie chcę powiedzieć, że ona wstrząsnęła rynkiem, ale była taką dosyć ciekawą karą z naszego punktu widzenia.

Tylko nie wiem, czy słowo ciekawie nie powinienem wstawić gdzieś w cudzysłów lub w nawiasie powiedzieć o tym. Mianowicie będziemy mówić o karze nałożonej na firmę McDonald's, na spółkę. Ona jest ciekawa z wielu powodów. Zacznijmy tak naprawdę od historii tego, co się wydarzyło. Nałożono karę na McDonald's. Prezes Urzędu Ochrony Danych Osobowych nałożył karę w wysokości 16 932 657 zł. Podzielona na trzy części. W ramach trzech części każda z nich nie jest równo podzielona. Też powiemy dlaczego. Milion sześćset trzydzieści dwa. Tak w skrócie już o końcówkach nie mówię. 13 600 000 i 1 700 000 plus z lekkim ogonem, co daje nam tą łączną kwotę, o której mówiłem wcześniej.

Co ciekawe, nałożono jeszcze karę na podmiot przetwarzający, który odegrał niebagatelną rolę. Firmę PR-ową w zasadzie to trudno mi powiedzieć, jaką rolę odgrywała ta firma. Była dostawcą usługi. Przynajmniej dwojaką. Była dostawcą usługi. Odegrała rolę dwojaką, dobrą i niedobrą, pozytywną i negatywną. W każdym razie jeszcze ta firma otrzymała karę w wysokości 183 858 złotych polskich i mamy komplet. Teraz pytanie oczywiście za co. Otóż firma, spółka McDonald's korzystała z pomocy tego dostawcy, który dostarczał jej grafiki, znaczy układał i zarządzał grafikami pracowników.

Później nadzór nad nim. No i to jest oczywiście element tej Naszej legendarnej analizy ryzyka. Ale zastanawiam się, gdzie jest na przykład... Pracujemy dla dużych firm, tak? Albo dla mniejszych firm dobrze zorganizowanych. Dla mniejszych dobrze zorganizowanych też. Natomiast powiedzmy, mam znajomego, który ma firmę budowlaną. Zatrudnia tam kilkadziesiąt osób, to nie jest jakaś wielka firma. Oni tam są bardzo oparci na ryzyko. Wszyscy są w kaskach, w kamizelkach, coś ci może spaść na głowę cały czas. No i on by chciał na przykład zrobić grafik pracy. Jestem 100% pewny, że analiza ryzyka przetwarzania danych osobowych nie przyjdzie mu do głowy. Więc też zastanawiam się, czy może urząd też powinien wydać takie minimum? Co cię zwolni rzeczywiście od odpowiedzialności?

Więc one są zawsze dosyć dobrze opisane. I ta kara też jest bardzo fajnie opisana. Bardzo fajnie są zidentyfikowane, przepraszam moich nauczycieli logiki, którzy mówili zawsze, że fajnie to jest jakiś ściemniacz semantyczny. Nie do końca wiadomo, co znaczy. Dobrze. Są tam dobrze opisane poszczególne elementy właśnie, czyli kwestia tego obowiązku, zawiadomienia osób, kwestia minimalizacji, kwestia analizy ryzyka. Więc nie chcę też do końca bronić tutaj administratora. Absolutnie, ponieważ tam jest błąd na błędzie i błędem pogania, jak śpiewali kiedyś we Lwowie. Natomiast, tak jak wspomniałem, problem tylko z położeniem akcentów. Dla firm na rynku bardzo ważna informacja z tego wynika, moim zdaniem. W zasadzie dwie bardzo ważne informacje. Jeżeli mamy jakąś działalność gospodarczą, to nie możemy cały czas, co jest oczywiste dla nas w tej branży, nie możemy zapominać, że gdzieś wokół różnych procesów krążą dane osobowe.

Gdzieś tam będzie element działalności medycznej. Duża firma i gdzieś tam ma jakąś część działalności medycznej. Siadamy, stwierdzamy, że nie znamy się na tym. Nie mamy pojęcia, jak przetwarzać dane genetyczne w jakichś tam systemach. W związku z tym bierzemy podmiot, który się w tym specjalizuje. Teraz de facto, żeby Żeby rzetelnie go ocenić, powinniśmy mieć od razu wejściowo tej wiedzy, której nie mamy. Bo gdybyśmy mieli tą wiedzę, to byśmy go nie brali. Tutaj troszeczkę jest ślepe koło. No ale z drugiej strony też jest tak, że jakby nie chcemy Państwa pozostawić bez pomocy, bo tego typu operacje się wykonuje, nawiązując do medycyny, czyli sprawdza się kontrahentów. To jest tak, że moim zdaniem samo profesjonalne podejście do tematu, czyli wysłanie ankiety i jej uważne przeczytanie, jeżeli mamy wątpliwości, to po pewnym czasie idziemy do takiego kontrahenta i sprawdzamy jak on przetwarza, tym bardziej, że ty powiedziałeś o danych medycznych,