DPD Polska naruszył RODO. Kara liczona jest w milionach
Prezes Urzędu Ochrony Danych Osobowych nałożył na spółkę DPD Polska dwie kary o łącznej wartości przekraczającej 11 milionów złotych. Decyzja jest wynikiem kontroli przeprowadzonej w siedzibie firmy, która wykazała naruszenia przepisów RODO.
Brak umów z zewnętrznymi przewoźnikami
W toku postępowania ustalono, że DPD Polska korzystało z usług zewnętrznych przewoźników przy transporcie przesyłek między oddziałami. Spółka nie zawarła z tymi podmiotami wymaganych prawem umów powierzenia przetwarzania danych osobowych. Firma stała na stanowisku, że usługa przewozu nie wiąże się z przetwarzaniem danych klientów.
Prezes UODO Mirosław Wróblewski nie zgodził się z tą argumentacją. Organ wskazał, że kierowcy zewnętrznych firm uczestniczyli w załadunku i rozładunku towarów, co dawało im dostęp do informacji na etykietach. Na paczkach znajdowały się takie dane, jak imiona, nazwiska, adresy, numery telefonów, a w przypadku usług za pobraniem także numery kont bankowych.
Nieprawidłowy system upoważnień pracowników
Kontrola wykazała również błędy w sposobie nadawania uprawnień do przetwarzania danych osobom zatrudnionym w spółce. DPD Polska stosowała automatyczny system, który generował pliki po przejściu przez pracownika szkolenia online. Dokumenty te nie zawierały jednak imienia i nazwiska pracownika ani podpisu osoby udzielającej upoważnienia.
Urząd uznał, że takie rozwiązanie narusza zasady bezpieczeństwa i rozliczalności. Zgodnie z decyzją, automatycznie generowane pliki o niejasnej treści nie mogą być uznane za ważne upoważnienia. Spółka nie wdrożyła tym samym własnej polityki ochrony danych, do której była zobowiązana ze względu na skalę prowadzonej działalności.
Dwie kary na łączną kwotę 11 milionów złotych
Za stwierdzone uchybienia Prezes UODO nałożył na administratora danych osobowych oddzielne kary finansowe. Pierwsza z nich, wynosząca 6,251 mln zł, dotyczy braku umów powierzenia danych z przewoźnikami. Druga kara w wysokości 5,209 mln zł została nałożona za niewdrożenie odpowiednich środków organizacyjnych w zakresie upoważnień.
Postępowanie w tej sprawie zostało wszczęte przez UODO z urzędu. Decyzja o nałożeniu sankcji kończy proces administracyjny dotyczący przetwarzania danych w ramach świadczenia usług kurierskich przez DPD Polska.
