Podając za użytkownikiem serwisu Wykop.pl urzędnik ZUS-u oddziału Warszawa I ujawnił – prawdopodobnie niechcący około 1500 adresów e-mail lokalnych przedsiębiorców, którym wysłano informacje z załącznikami na temat tak zwanej tarczy antykryzysowej. Adresów e-mail na pewno było sporo takich, które jednoznacznie mogły identyfikować przedsiębiorcę jako imię.nazwisko[@]poczta.
Oznacza to, że każdy odbiorca tego maila może poznać adresy e-mail pozostałych właścicieli / osoby reprezentujące firmę z urzędem mikro-firm i samozatrudnionych. Miejmy nadzieję, że nikt z tych osób nie wykorzysta „niezamawianej” bazy adresów do celów niezgodnych z prawem.
Instytucje państwowe również podlegają karze ze względu na #RODO – rozporządzeniu o danych osobowych z roku 2019. Firmy prywatne oraz administracja państwowa za rażące ujawnienie danych (lub wyciek z powodu cyberataku) mogą zostać obarczone karą finansową:
- do 10 000 000 euro lub do 2% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego (zastosowanie ma kwota wyższa) za np.: nieprawidłowości w zakresie powierzenia przetwarzania danych; niewłaściwe prowadzenie rejestru czynności przetwarzania lub jego brak; czy niezgłoszenie naruszenia ochrony danych lub niezawiadomienie o naruszeniu osoby, której dane dotyczą;
- do 20 000 000 euro, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, np. za przetwarzanie danych osobowych niezgodnych z zasadami RODO, niedotrzymanie warunku wyrażenia zgody na przetwarzanie danych, niedotrzymanie warunków przetwarzania szczególnych kategorii danych osobowych (tj. np. danych o stanie zdrowia, wyznaniu, orientacji seksualnej), niedopełnienie obowiązku informacyjnego, czy prawa do sprostowania;
- do 100 000 złotych na jednostki sektora finansów publicznych, instytuty badawcze, czy Narodowy Bank Polski;
- do 10 000 złotych na państwowe i samorządowe instytucje kultury
Jeżeli UODO zdecyduje się wszcząć postępowanie przeciwko oddziałowi ZUS, kara pieniężna będzie wynosić maksymalnie 100 000 złotych. Zapłacą oczywiście podatnicy.
To nie byłaby pierwsza kara nałożona przez Urząd Ochrony Danych Osobowych na administrację publiczną.
