Odc. 81 - Kara XXL: Mc Donald's na celowniku UODO

Tylko nie wiem, czy słowo ciekawie nie powinienem wstawić gdzieś w cudzysłów lub w nawiasie powiedzieć o tym. Mianowicie będziemy mówić o karze nałożonej na firmę McDonald's, na spółkę. Ona jest ciekawa z wielu powodów. Zacznijmy tak naprawdę od historii tego, co się wydarzyło. Nałożono karę na McDonald's. Prezes Urzędu Ochrony Danych Osobowych nałożył karę w wysokości 16 932 657 zł. Podzielona na trzy części. W ramach trzech części każda z nich nie jest równo podzielona. Też powiemy dlaczego. Milion sześćset trzydzieści dwa. Tak w skrócie już o końcówkach nie mówię. 13 600 000 i 1 700 000 plus z lekkim ogonem, co daje nam tą łączną kwotę, o której mówiłem wcześniej.

Co ciekawe, nałożono jeszcze karę na podmiot przetwarzający, który odegrał niebagatelną rolę. Firmę PR-ową w zasadzie to trudno mi powiedzieć, jaką rolę odgrywała ta firma. Była dostawcą usługi. Przynajmniej dwojaką. Była dostawcą usługi. Odegrała rolę dwojaką, dobrą i niedobrą, pozytywną i negatywną. W każdym razie jeszcze ta firma otrzymała karę w wysokości 183 858 złotych polskich i mamy komplet. Teraz pytanie oczywiście za co. Otóż firma, spółka McDonald's korzystała z pomocy tego dostawcy, który dostarczał jej grafiki, znaczy układał i zarządzał grafikami pracowników.

Po drugie ani McDonald's, ani ten podmiot przetwarzający. Nie przeprowadzili analizy ryzyka. Ten podmiot przetwarzający jeszcze oczywiście wybrał sobie kolejnego podprzetwarzającego, z którym nie zawarł umowy powierzenia. Nie było tam kontroli administratora nad tym podmiotem przetwarzającym, nie było tej zasady minimalizacji danych, bo tak jak wspomniał Tomasz, tam były imiona, nazwiska, wydaje się jeszcze jest ok, ale później się zaczyna lepiej, czyli właśnie PESEL-e, paszporty, no i za co powinno być w tym grafiku, czyli godzinę pracy, stanowiska, dni wolne i tak dalej. I do tego jeszcze, jak to już wyszło, Że na skutek błędu konfiguracji serwera te dane zostały upublicznione. No to jeszcze McDonald's poinformował pracowników nie indywidualnie, tak jak się powinno wydawać, frytki i zestawy powiększone klientom, tylko masowo, czyli pewnymi takimi grupowymi chyba w prasie i tak dalej wydał takie oświadczenie.

Czyli jesteś za tym, żeby bardziej obciążyć, czy zwrócić uwagę na... Ustandaryzować troszeczkę. Ale przesunąć trochę punkt ciężkości na dostawców usług, tak? Tak. Czyli ta kara jest... Dziwisz się tej karze pod kątem takim, że jest za wysoka dla administratora, za niska dla podmiotu... Wiesz co, tutaj akurat podejrzewam, że McDonald's jakoś bardzo nie zbiednieje od tych 17 milionów. Myślę, że to jest korporacja, którą na to stać. Pewnie tam, wiesz, dadzą mniejszą ilość sera do cheeseburgerów przez najbliższe trzy miesiące. Ale chciałbym, żeby troszeczkę większa odpowiedzialność jednak była na tych podmiotach przetwarzających. Być może wyjściem jest to, do czego od zawsze namawiamy, czyli albo certyfikacja, albo zatwierdzone kodeksy postępowania.