Brak niezależności IOD podstawą nałożenia kary finansowej: Prezes Urzędu Ochrony Danych Osobowych nałożył na Pocztę Polską S.A. administracyjną karę pieniężną w wysokości 978 tys. zł za naruszenie przepisów RODO polegające na braku zapewnienia niezależności sprawowania funkcji Inspektora Ochrony Danych (IOD).
Postępowanie zostało wszczęte z urzędu po zgłoszeniu przez Spółkę naruszenia ochrony danych, polegającego na uzyskaniu przez osobę nieuprawnioną dostępu do danych osobowych zawartych w dokumencie PIT-11. W toku czynności wyjaśniających organ nadzorczy ustalił, że problem ma charakter szerszy i dotyczy systemowego konfliktu interesów w sposobie organizacji funkcji IOD.
Z ustaleń wynikało, że osoba wyznaczona na stanowisko IOD pełniła jednocześnie funkcje kierownicze oraz merytoryczne bezpośrednio związane z przetwarzaniem danych osobowych. Oznaczało to, że w praktyce nadzorowała obszar, za który sama była odpowiedzialna, co podważało jej bezstronność i niezależność.
Niezależność Inspektora Ochrony Danych
Wytyczne Grupy Roboczej ds. ochrony osób fizycznych w zakresie przetwarzania danych osobowych, powołanej na mocy dyrektywy Parlamentu Europejskiego i Rady z 24 października 1995 r. wskazują, że wymóg unikania konfliktu interesów jest ściśle związany z wymogiem wykonywania zadań przez IOD w sposób niezależny. Wytyczne te odnoszą się również do kwestii określania sposobów i celów przetwarzania danych osobowych, co powinno zostać organizacyjnie i merytorycznie oddzielone od ich monitorowania.
Tymczasem w toku postępowania Spółka nie była w stanie wykazać, że przeprowadziła analizę ryzyka konfliktu interesów, ani że w jej aktach wewnętrznych określono pierwszeństwo zadań IOD w razie kolizji z innymi obowiązkami służbowymi. Nie sprecyzowano także podziału zadań, ani wymiaru czasu pracy w sposób gwarantujący skuteczność wykonywania funkcji inspektora. Zdaniem organu nadzorczego brak takich rozwiązań organizacyjnych podważał realną możliwość wykonywania przez IOD obowiązków w sposób obiektywny i efektywny.
Prezes UODO wskazał ponadto, że nie jest to pierwsze naruszenie przepisów o ochronie danych w tej spółce. Wcześniejsze decyzje obejmowały upomnienia oraz nakazy dostosowania operacji przetwarzania danych do wymogów RODO.
Kara jako konsekwencja za naruszenie przepisów
Wymiar kary został ustalony w oparciu o obrót Spółki za 2024 r., wynikający ze sprawozdania finansowego przedłożonego w toku postępowania. Organ zakwalifikował naruszenie jako średniej wagi, biorąc pod uwagę zarówno charakter uchybienia, jak i fakt, że w trakcie postępowania spółka dokonała zmian organizacyjnych. Ostatecznie wyodrębniono funkcję IOD w strukturze przedsiębiorstwa oraz zapewniono jej bezpośrednią podległość zarządowi, co miało wzmocnić gwarancje niezależności.
