Търговецът призна вината си и плати 270 000 евро
Разсеян служител изпрати по имейл с ведомостите за заплати на 447 работници на компанията UNIQLO и испанската агенция за защита на данните (AEPD) наложи санкция от 450 000 евро. AEPD публикува решението, в което се казва, че е нарушен член 32, пар. 1 от GDPR, поради неприемане на подходящи технически и организационни мерки, което позволява на неупълномощена трета страна да получи достъп до личните данни на служителите на UNIQLO.
Историята започва с искане от страна на жалбоподателя , чийто трудов договор е бил прекратен, на достъп до информацията за заплатите му за юли 2022 г.
В отговор на искането администраторът е изпратил имейл до жалбоподателя, който съдържа прикачен PDF документ, включващ неговата ведомост и тази на 446 други работници от персонала, пише в решението на AEPD. От документа става ясно, че на 8 август 2022 г. е изпратен файл с ведомостта за заплати на 447 служители, включително име и фамилия, лична карта, DNI/NIE номер, социалноосигурителен номер, номер на банкова сметка и получено възнаграждение.
Служителят по човешки ресурси, който е изпратил файла, не е информирал своите мениджъри. Чак на 18 април 2023 г. UNIQLO получава уведомление от AEPD, с което се изисква определена информация. Именно в този момент Uniqlo научава за инцидента. След това изпраща имейл на всички засегнати – съответно 287 настоящи и 160 бивши служители през май 2023 г. В съобщението се посочва, че няма доказателства за злоупотреба с личните данни и се посочва препратка към INCIBE (Национален институт за киберсигурност), така че засегнатите да могат да се консултират с допълнителни ресурси за киберсигурност. Възможните последици, които това нарушение би могло да има, не са посочени, въпреки че в текста се казва: „препоръчваме ви да сте наясно с всеки потенциален риск, който може да възникне от неправилно използване на вашите лични данни,“ пише в решението на AEPD. В писмото са посочени мерките, които UNIQLO ще предприеме, за да се опита да гарантира, че няма да има повече инциденти от този тип: обучение на персонала по киберсигурност и поверителност на данните, заедно с преглед на вътрешните процедури и политики.
За нарушение на член 5, пар. 1, б. „е“ от GDPR, като не е гарантирана надлежно поверителността и целостта на личните данни на служителите, станали известни на неупълномощена трета страна, AEPD определя санкция от 300 000 евро, а за член 32, пар. 1 – 150 000 евро .
Небрежността на служителя не освобождава UNIQLO от отговорност. Отговорността на компанията за небрежно действие на служител, което включва неспазване на разпоредбите за защита на данните, е потвърдено от съдебната практика на испанския Върховен съд, пише AEPD и посочва решения по съответните дела.
Испанският надзорен орган, AEPD, налага обща глоба от 450 000 евро за нарушението, която е намалена на 270 000 евро въз основа на разпоредби в испанския закон, позволяващи намаляване на размера на глобата, когато администраторът доброволно плати глобата и признае отговорност за нарушението.