Kwota 11 461 030 zł – taką karę nałożył Urząd Ochrony Danych Osobowych na spółkę z branży logistycznej – firmę kurierską DPD, uznając, po kontroli wszczętej z urzędu, że w ramach jej modelu operacyjnego doszło do dwóch odrębnych naruszeń RODO.
Wadliwy system upoważnień do przetwarzania danych osobowych
Pierwsze naruszenie przepisów RODO (art. 24 ust.1 i 2, art. 29 oraz art. 32 ust.1 i 4 RODO) dotyczyło wadliwego systemu upoważnień do przetwarzania danych osobowych i brak środków organizacyjnych. Spółka wdrożyła elektroniczną platformę szkoleniową. Po zaliczeniu testu z ochrony danych system automatycznie generował plik z treścią „upoważnienia”, zapisywał go na dysku pracownika. Brakowało: podpisu członka zarządu lub osoby umocowanej, formalnie wyznaczonej osoby do nadawania upoważnień, a także możliwości ustalenia, kto i komu nadał upoważnienie. Spółka traktowała fakt zaliczenia testu jako równoważne z udzieleniem upoważnienia.
Błędy w upoważnieniach do danych według UODO
Prezes UODO w decyzji z 5 marca 2026 r. (DKN.5112.1.2023) wskazał, że:
- upoważnienie musi być oświadczeniem woli administratora, powinno być podpisane nie może być generowane automatycznie „w reakcji” na działanie pracownika,
- system nie zapewniał rozliczalności,
- nie było możliwości przypisania aktu udzielenia upoważnienia konkretnej osobie uprawnionej (na upoważnieniach nie było imion i nazwisk),
- spółka nie wdrożyła własnej polityki ochrony danych (brak wyznaczenia osoby nadającej upoważnienia).
Drugie naruszenie RODO dotyczyło przewoźników zewnętrznych
Drugie naruszenie przepisów RODO (art. 28 ust. 3 RODO) dotyczyło zlecenia transportu zewnętrznym podmiotom. Firma przy transporcie pomiędzy swoimi oddziałami przesyłek zawierających etykiety adresowe korzystała z usług zewnętrznych przewoźników, bez uprzedniego zawarcia z nimi umów powierzenia przetwarzania danych osobowych.
