Rekordowa kara dla McDonald’s Polska. Ujawniono powód

Prezes Urzędu Ochrony Danych Osobowych, Mirosław Wróblewski, nałożył na McDonald's Polska kary w wysokości ponad 16,9 mln zł za naruszenie przepisów dotyczących ochrony danych osobowych.

Kary dotknęły również firmę 24/7 Communication, która przetwarzała dane na zlecenie McDonald's.

McDonald's Polska powierzył przetwarzanie danych osobowych pracowników zewnętrznej firmie, co doprowadziło do ich ujawnienia w publicznie dostępnym katalogu.

Dane obejmowały m.in. imiona, nazwiska, numery PESEL oraz szczegóły dotyczące czasu pracy. Brak odpowiednich zabezpieczeń i analizy ryzyka przyczynił się do tego incydentu - czytamy w komunikacie UODO.

W toku postępowania ustalono, że McDonald's nie przeprowadził wymaganej analizy ryzyka ani nie wdrożył odpowiednich środków technicznych i organizacyjnych. Podmiot przetwarzający, 24/7 Communication, również nie zapewnił odpowiedniego poziomu bezpieczeństwa danych, co było jednym z powodów nałożenia kar.

Oprócz kar finansowych McDonald's otrzymał upomnienie za brak bezpośredniego zawiadomienia osób, których dane zostały naruszone. Zawiadomienia były realizowane jedynie poprzez komunikaty prasowe, co nie spełniało wymogów bezpośredniego powiadomienia.

Nałożone kary nie są jeszcze prawomocne. Zarówno McDonald’s Polska, jak i agencja 24/7 Communication mają prawo odwołać się od decyzji do sądu. UODO zwrócił uwagę na konieczność przestrzegania zasady minimalizacji danych, co w tym przypadku zostało zaniedbane.

Do kary ze strony UODO ustosunkowała się firma McDonald's w Polsce, która przesłała naszej redakcji swoje oświadczenie w tej sprawie.

"Otrzymaliśmy decyzję Prezesa Urzędu Ochrony Danych Osobowych dotyczącą incydentu z 2020 roku, kiedy doszło do nieuprawnionego dostępu do danych osobowych części pracowników restauracji McDonald’s w Polsce. Obecnie analizujemy jej treść.

Jako firma działamy w zgodzie z przepisami prawa i odpowiedzialnie. Ubolewamy, że doszło do incydentu sprzed pięciu lat. Dołożyliśmy starań, aby zminimalizować jego wpływ. Jednocześnie podkreślamy, że zdarzenie nie dotyczyło danych naszych gości, użytkowników aplikacji mobilnej ani kontrahentów.

Naruszenie dotyczyło osób zatrudnionych w wybranych restauracjach od maja 2014 do stycznia 2019 roku. Po stwierdzeniu naruszenia niezwłocznie dokonaliśmy zgłoszenia do Prezesa Urzędu Ochrony Danych Osobowych. W toku postępowania administracyjnego transparentnie współpracowaliśmy z Urzędem. Dodatkowo podjęliśmy działania mające na celu zabezpieczenie danych naszych pracowników, gości i kontrahentów. Zrezygnowaliśmy z narzędzia do wyświetlania grafików pracy, przeprowadzamy niezależne audyty, wzmocniliśmy wewnętrzne procedury oraz cyklicznie realizujemy szkolenia z zakresu ochrony danych osobowych.

Do dziś nie odnotowaliśmy przypadków nieuprawnionego wykorzystania danych objętych incydentem" - czytamy w oświadczeniu.