Така и не разбрах защо PR агенция се е захванала и с обработката на лични данни на служители
Полският надзорен орган за защита на данните (UODO) съобщи, че неговият председател Мирослав Вроблевски е наложил глоби в общ размер на 16 932 657 злоти (1 632 063 злоти, 13 600 528 злоти, 1 700 066 злоти) на McDonald’s Polska Sp. и издал предупреждение за нарушаване на редица разпоредби за защита на личните данни. В същия случай председателят наложил глоби и на 24/7 Communication Sp. z o.o. (обработващ) в общ размер на 183 858 злоти (94 286 злоти, 42 429 злоти, 47 143 злоти).
McDonald’s Polska Sp. z o.o. е поверила обработката на лични данни на служителите на своята верига ресторанти на външна компания с цел управление на работните графици. Неспазването на изискванията за анализ на рисковете от този процес, неприлагането на подходящи мерки за сигурност и неспазването на разпоредбите на споразумението за обработка на лични данни е довело до разкриването на лични данни в публично достъпен указател.
McDonald’s Polska Sp. z o. o. (наричано по-долу още McDonald’s или администраторът) е съобщило за нарушение на сигурността на лични данни на председателя на UODO. Администраторът е установил, че споделеният файл в публичния указател съдържа данни за служителите на McDonald’s и неговите франчайзополучатели: собствено и фамилно име, PESEL номера, номера на паспорти (ако не е предоставен PESEL номер), номер на ресторант на McDonald’s, дата и час на начало на работа, дата и час на край на работа, брой отработени часове, длъжност, почивни дни, вид ден и вид работа.
McDonald’s е сключил споразумение за услуги за връзки с обществеността (основното споразумение) с 24/7 Communication Sp. z o.o. (наричано по-долу 24/7 Communication или обработващия лични данни), наред със споразумение за обработка на лични данни, съгласно което данните за служителите, събрани в „модула за график на служителите“, са обработвани и предоставяни на служителите, франчайзополучателите и техните служители на ресторанта на McDonald’s чрез уебсайт, управляван от администратора. Администраторът не е имал правомощия да управлява ресурсите и конфигурацията на ИТ системата, съдържаща модула за график на служителите. Само обработващият е имал такива правомощия. Администраторът е възложил целия процес, включително неговата работа, на обработващия. Модулът за график не е имал отделен администраторски панел и въпреки че такъв достъп е бил възможен, администраторът никога не е поискал такъв достъп от обработващия.
Същевременно, разпоредбите на споразумението за обработка на лични данни, по-специално тези, свързани с одити и инспекции, не бяха изпълнени. Администраторът не е упражнил надлежен надзор върху поверените лични данни.
По време на производството надзорният орган отбелязва, че задължението за прилагане на подходящи технически и организационни мерки се отнася както за администратора, така и за обработващия лични данни.
Прилагането на подходящи технически и организационни мерки не е еднократна дейност, а процес, при който администраторът и обработващият лични данни преглеждат и, ако е необходимо, актуализират приетите мерки за сигурност.
Задължението за редовно тестване, измерване и оценка на данните не е било изрично включено в политиката за защита на данните, разработена от обработващия лични данни, и в крайна сметка не е било изпълнено по никакъв начин. Освен това, обработващият лични данни не се е чувствал отговорен за осигуряването на ниво на сигурност, съответстващо на риска от поверените лични данни, обработвани чрез модула за график на служителите, тъй като не ги е считал за ресурс, за който е отговорен. Това задължение произтича от нормативната уредба и не може да бъде изключено въз основа на тълкуването на разпоредбите на договора, сключен между администратора и обработващия лични данни. Освен това, нарушението на сигурността на личните данни е възникнало поради неправилна конфигурация на сървъра, която е позволила преглед на съдържанието на сървъра, включително копие на базата данни от приложението за график на служителите, съдържаща лични данни.
Нито администраторът, нито обработващият лични данни са извършили анализ на риска. Нито са били въведени технически и организационни мерки, подходящи за мащаба на обработката. Пробивът е резултат от неправилна конфигурация на сървъра, за която е отговорен обработващият лични данни.
При обработката на поверените лични данни, обработващият лични данни е използвал услугите на друго лице, с което не е сключил споразумение за по-нататъшна обработка на лични данни. Едва след настъпване на нарушението и по време на разследването на надзорния орган е подписано съответно споразумение, въпреки че в съответствие с GDPR (член 28, параграфи 4 и 9) и сключеното споразумение това задължение е съществувало и преди това.
Освен това, нито администраторът, нито обработващият лични данни са включвали длъжностното лице по защита на данните във всички въпроси, свързани със защитата на личните данни (член 38(1) от GDPR). В McDonald’s длъжностното лице по защита на данните не е участвало в анализа на квалификацията и валидността на избора на обработващия лични данни, нито в обработването на данни, свързани с модула за график. Пропускането на длъжностното лице по защита на данните е ограничило възможността за предотвратяване на нарушението.
Разследването разкри, че McDonald’s не е проверил способността на обработващия лични данни да защити данните, като се е позовавал единствено на предварително сътрудничество с PR отдела. Това е нарушило член 28(1) от GDPR, който изисква обработването от името на администратора да се извършва от обработващи лични данни, които предоставят достатъчни гаранции за прилагане на подходящи технически и организационни мерки за защита на правата на субектите на данни.
Споразумението за обработка на данни не освобождава администратора от задължения за защита на данните.
Поверяването на обработката на лични данни на обработващ не освобождава администратора от задължението да гарантира сигурността в съответствие с изискванията на GDPR (член 24, член 25 и член 32, параграфи 1 и 2).
Администраторът не е извършил необходимия анализ на риска и не е взел предвид заплахите, произтичащи от използването на услугите на обработващия лични данни.
Администраторът следва да оцени обхвата на обработваните лични данни с цел да ограничи този обхват само до данни, които са необходими за постигане на целта на обработването на данните, както е посочено в член 25, параграф 1 (прилагане на подходящи технически и организационни мерки) и член 5, параграф 1, буква в) от GDPR (принцип на минимизиране).
Вместо данни, необходими за записване и управление на работното време на служителите, системата включваше и PESEL номера и номера на паспорти. Тези данни служеха като идентификатор, осигуряващ недвусмислената идентификация на служителя. Едва след инцидента тези данни бяха заменени с идентификационни номера. Замяната на един високорисков елемент от данните с друг, като например идентификационен номер, е в съответствие с принципа за минимизиране на данните.
Администраторът правилно е заключил, че нарушението на сигурността на личните данни представлява висок риск от нарушаване на правата и свободите на физическите лица и е уведомил засегнатите лица. Формата на уведомяване е варирала; администраторът е уведомил бивши служители само чрез публикуване на две прессъобщения. Според председателя на UODO тази форма на уведомяване не може да се счита за директно уведомяване за нарушение на сигурността на личните данни. Надзорният орган е издал предупреждение на администратора за това, че не е уведомил директно бивши служители.
По време на производството, председателят на UODO разгледал и дали McDonald’s може да се счита за администратор на личните данни на служителите на франчайзополучателите на McDonald’s, които също са съобщили за нарушение на личните данни, свързано със същия инцидент със сигурността. Председателят на UODO посочи, че администраторът е субектът, който решава целта на обработването на данните и определя мерките, които ще се използват за постигане на тази цел. McDonald’s е собственик на модула за график, използван за управление и записване на работното време на служителите в ресторанта, включително служителите на франчайзополучателите, и като създател и собственик на модула, той е решавал целите и методите за обработване на личните данни. Той е определял функционалностите на софтуера и методите за обработване, включително обхвата на събираните лични данни.
McDonald’s избра 24/7 Communication за свой обработващ, на когото повери модула за планиране, управление на работното време и записване на работното време. Както сключването на договори, така и предаването на цялата информация на франчайзополучателите се обработваха чрез McDonald’s.
Тези обстоятелства определят статута на администратора и е било невъзможно да се приеме, че ролята на McDonald’s във взаимоотношенията с 24/7 Communication и субектите, които са франчайзополучатели на McDonald’s, е била безразлична към определянето на целите и методите за обработка на личните данни на служителите на франчайзополучателите и следователно е била безразлична към приемането от страна на McDonald’s на отговорност, която администраторът носи съгласно разпоредбите на GDPR, за нарушение на защитата на личните данни и на служителите на франчайзополучателите на McDonald’s.