Odc. 81 - Kara XXL: Mc Donald's na celowniku UODO

Kara jest bardzo wysoka. Bardzo wysoka porównując do innych kar, które pojawiły się na rynku. Natomiast jest ona ciekawa z wielu powodów. Pytanie z jakich Tak, oczywiście sam Urząd Ochrony Danych Osobowych, zamieszczając artykuł o tej karze, wskazał, że za środki techniczne i organizacyjne odpowiada zarówno administrator, jak i podmiot przetwarzający. To jest pokłosie chyba już od dawna utrzymanego przez Urząd Stanowiska, jeszcze pewnie wzmocnionego jakiś czas temu takimi wytycznymi RODO, co do obowiązków administratorów wobec podmiotów przetwarzających, jaka powinna być kontrola całego tego łańcucha. My żeśmy o tym mówili w odc. 64 i omawialiśmy, więc zachęcamy do powrotu i utrwalenia.

Omawialiśmy właśnie te wytyczne RODO. I tu mamy tego konsekwencje, czyli... Pamiętajmy, że za starych dobrych czasów poprzedniej ustawy, dyrektywy z 1995 roku było tak, że jak zatrudniliśmy właśnie podmiot przetwarzający, te dane tam wyciekły, no to za środki organizacyjne i techniczne odpowiadał ten podmiot. RODO nam w art. 28 nieco odwraca tę filozofię, mówiąc, że administrator... Korzysta jedynie z tych podmiotów, które dają gwarancję bezpieczeństwa. Czyli inaczej mówiąc, jesteśmy odpowiedzialni po pierwsze a za wybór, b za nadzór nad takim podmiotem. No i tutaj rzeczywiście dysproporcja jest dosyć duża, bo wyobraź sobie, że hodujesz tamten zarząd tego Mc Donalda, chodzi, hoduje te ziemniaki, kroi tą cebulę, musisz tych pracowników zatrudniać, ZUSy płacić, KRUSy, podatki, AML, no wszystko.

No i myślisz sobie, no chłopaki, chłopaki, słuchajcie, chodzimy w tym polu, tytłani, w tych ziemniakach, to chociaż niech grafik już, niech tam Stefan z finansowego nie robi tych grafików i z HR-a pani Józia, wyrzućmy to na zewnątrz, prawda? Wydaje się, no grafik pracy, no niewiele złego się tutaj może wydarzyć, no jakie to mogło być dane, no że ktoś tam przychodzi i te burgery wydaje od 8 do 16 i tak dalej. No i okazuje się, że jednak stać się może sporo, tak? Że rzeczywiście Wszystko chyba co mogło być, to poszło nie tak. To jest taka dobra kara. Jak pamiętamy, że ludzie zdolni uczą się na swoich błędach, a geniusze na cudzych, to dla tej drugiej grupy polecamy lekturę tej decyzji, bo tak jak wspomniał Tomasz, tam od początku poszło nie tak. Czyli po pierwsze UODO był kompletnie nie zaangażowany w to.

Czy jeżeli np. zrobisz tą ankietę, powtórzysz ją co rok, czy to jest wystarczające? Ale to patrzysz z punktu widzenia, co cię zwolni z odpowiedzialności, z punktu widzenia administratora? Trochę z punktu widzenia administratora, bo ja bym widział większą odpowiedzialność. Nie mam problemu z tym zaangażowaniem troszeczkę administratora w to, ale widzę pewną dysproporcję odpowiedzialności. Rozumiem dlaczego ona jest, ale patrzę troszeczkę z punktu widzenia administratorów. Dla których w Polsce i tak ciężko się prowadzi działalność gospodarczą. Jest chyba 74 grupy wymogów, które musi mieć większy przedsiębiorca. Liczyliśmy to dla jednego z klientów. AML, podatki, BHP, etc. I do tego dochodzi jeszcze RODO, pozycja 53.