Prezes Urzędu Ochrony Danych osobowych wydał decyzję, w której nałożył na spółkę P4 administracyjną karę pieniężną w wysokości 100 tys. zł. Sankcja związana jest z niedotrzymaniem przez podmiot terminu zawiadomienia organu o naruszeniu danych osobowych.
Zgodnie z Prawem telekomunikacyjnym oraz unijnym rozporządzeniem Komisji w sprawie środków mających zastosowanie przy powiadamianiu o przypadkach naruszenia danych osobowych, przedsiębiorca telekomunikacyjny – administrator danych – musi w przypadku stwierdzenia naruszenia bezpieczeństwa danych osobowych powiadomić o incydencie organ ds. ochrony danych osobowych, a także abonenta lub użytkownika końcowego, którego dane zostały naruszone. Obowiązek ten należy spełnić w ciągu 24 godzin od momentu wykrycia naruszenia.
W rozpoznawanej sprawie spółka tłumaczyła, że uchybienia spowodowane były błędem pracowników kancelarii odpowiedzialnych za wysyłkę korespondencji. Nie wpisali oni korespondencji do książki nadawczej, czego efektem był jej zwrot przez operatora pocztowego. Na decyzję PUODO wpływ miał powtarzający się charakter naruszenia. W sumie postępowaniem objęto 5 naruszeń, zgłoszonych po terminie. UODO niejednokrotnie kierował do spółki pisma o złożenie wyjaśnień dotyczących zgłaszania naruszeń po upływie terminu oraz informował przedsiębiorstwo o możliwości elektronicznego zgłaszania naruszenia danych osobowych – za pośrednictwem platformy biznes.gov.pl lub platformy ePUAP.
Decyzja dostępna jest po linkiem: https://www.uodo.gov.pl/decyzje/DKN.5131.10.2020
