Варшавският технологичен университет трябва да плати около 9 900 евро, а Bank Millennium – 80 000 евро
Полското DPA наложи глоба на Варшавския технологичен университет за неспазване на задължението си да гарантира сигурността на обработваните лични данни. Инцидент със сигурността на университетско приложение води до компрометиране на лични данни на над 5 000 души.
След проверката на надзорния орган е установено, и че университетът не е успявал редовно да тества, оценява и оценява ефективността на мерките за сигурност и не е отчел риска, свързан с обработката на данни в своето приложение.
Вземайки предвид неспазването на задълженията на администратора и високия риск от неблагоприятни последици в бъдеще за лицата, засегнати от инцидента, полският орган за защита на данните налага административна глоба от 45 000 PLN (приблизително 9 900 евро).
Нарушени са чл. 5, чл. 24, чл. 25 и чл. 32 от Регламент 2016/679 на Европейския парламент и на Съвета и на Съвета на ЕС 2016/679 от 27 април 2016 г. относно защитата на физическите лица при обработката на лични данни и относно свободното движение на тези данни, и отмяна на Директива 95/46 / ЕО (Общ регламент относно защитата на данните) (Journal of Laws UE L 119 от 04.05.2016 г.), наричан „Регламент 2016/679“ или GDPR.
Втората глоба е за Bank Millennium заради неуведомяване за нарушение на сигурността на личните данни до надзорния орган (член 33(1)), и субектите на данните (член 34(1)).
Службата за защита на личните данни (UODO) научава за нарушението на сигурността на личните данни от жалба, подадена срещу банката. Жалбата се отнася до загуба от куриерска фирма на кореспонденция, съдържаща лични данни, като: име, фамилия, ЕГН (PESEL номер), регистриран адрес, номера на банкови сметки, идентификационен номер на клиенти на банката. Жалбоподателите са информирани за този факт от банката, но информацията не е отговаряла на изискванията, посочени в GDPR.
В хода на делото се оказва, че администраторът на лични данни не е изпълнил задълженията си. Банката счита, че рискът от неблагоприятни последици за лицата, засегнати от нарушението, е среден. Поради това тя не е уведомила за това нарушение надзорния орган и не е спазила напълно задължението да го съобщи на субектите на данни. UODO посочва, че ако администраторът беше уведомил надзорния орган в този случай, той щеше да го информира, че нарушението трябва да бъде съобщено и на хората.
При вземането на решение за налагане на глоба от 363 832 PLN или 80 000 евро, UODO взема предвид, наред с други неща, факта, че по време на производството банката все още не е изпълнила задълженията си, свързани с нарушението, както и незадоволителното ниво на сътрудничество с надзорния орган, умишления характер на дейността и естеството и тежестта на нарушението.
С решението надзорният орган не само налага глоба на администратора, но и му разпорежда да съобщи за нарушението на засегнатите лица по начина, предвиден в чл. 34(2) от GDPR.