17 mln zł kary od UODO za naruszenie RODO – jakie wnioski dla HR?

Niedawna decyzja Prezesa UODO nałożyła na McDonald’s Polska oraz spółkę 24/7 Communication (procesora danych) wysokie kary finansowe za naruszenia ochrony danych osobowych pracowników. W wycieku ujawniono m.in. imiona i nazwiska, numery PESEL i paszportów, godziny pracy oraz inne dane pracownicze, które znalazły się w publicznie dostępnej lokalizacji.

Analiza ryzyka i zabezpieczenie danych pracowników

Prezes UODO podkreślił, że obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych spoczywa zarówno na administratorze, jak i na podmiocie przetwarzającym (procesorze). Co ważne, nie jest to działanie jednorazowe – środki bezpieczeństwa wymagają regularnego przeglądu i aktualizacji wraz ze zmianą ryzyk. W przypadku administratora danych zabrakło przeprowadzenia analizy ryzyka dla procesu zarządzania grafikami pracy oraz doboru właściwych zabezpieczeń. W efekcie doszło do błędnej konfiguracji serwera obsługiwanego przez procesora, co umożliwiło nieuprawniony dostęp do baz danych z danymi pracowników. Ani administrator, ani procesor nie dokonali oceny ryzyka ani nie wdrożyli środków adekwatnych do skali i charakteru przetwarzania. Przed wdrożeniem nowych systemów HR lub powierzeniem danych zewnętrznej firmie zawsze należy przeanalizować ryzyka i zapewnić odpowiednie zabezpieczenia (np. konfiguracja serwerów, szyfrowanie, kontrola dostępu).

Nadzór nad procesorem i umowa powierzenia danych

Administrator powierzył przetwarzanie danych firmie zewnętrznej, jednak nie sprawował nad nią należytego nadzoru. Choć podpisano umowę powierzenia przetwarzania danych osobowych, jej postanowienia – takie jak prawo audytu czy kontrola przestrzegania zabezpieczeń – nie były realizowane. Postępowanie wykazało również, że administrator nie zweryfikował rzetelnie, czy wybrany procesor zapewnia wystarczające gwarancje ochrony danych; decyzję oparto głównie na wcześniejszej współpracy. Dla osób odpowiedzialnych za obszar ochrony danych lub HR (a często są to te same osoby) oznacza to konieczność dopilnowania, aby każda umowa powierzenia danych osobowych była kompletna (obejmowała m.in. procedury kontroli, zgodę na podwykonawców i wymagane zabezpieczenia) oraz aby w praktyce administrator monitorował działania procesora. Samo podpisanie umowy nie zwalnia administratora z odpowiedzialności – musi on aktywnie dbać o bezpieczeństwo danych, nawet jeśli przetwarzanie zleca podmiotowi zewnętrznemu.

Zasada minimalizacji danych pracowniczych

W toku postępowania UODO stwierdził także naruszenie zasady minimalizacji danych. W używanym systemie grafików gromadzono więcej danych, niż było to niezbędne – np. numery PESEL i paszportów pracowników używano jako identyfikatory, choć do zarządzania czasem pracy w restauracji wystarczyłby wewnętrzny numer pracownika. Z perspektywy HR ważne jest, by okresowo przeglądać zakres zbieranych danych osobowych pseudonimizować dane, a nadmiarowych informacji nie zbierać, albo gdy miało już to miejsce – usuwać. Zasada minimalizacji nakazuje ograniczanie danych do niezbędnego minimum – przetwarzane powinny być tylko te dane, które są konieczne dla zrealizowania celu.

Rola IOD i informowanie pracowników o naruszeniach

Decyzja UODO wykazała, że Inspektor Ochrony Danych (IOD) nie był odpowiednio włączany w kluczowe procesy – m.in. pominięto go przy analizie i wyborze procesora oraz przy wdrażaniu modułu grafików. Takie pominięcie ograniczyło możliwość zidentyfikowania zagrożeń i zapobieżenia naruszeniu. Działy HR powinny ściśle współpracować z IOD przy projektowaniu nowych rozwiązań związanych z danymi pracowników. Pomoże to zidentyfikować potencjalne ryzyka i zadbać o zgodność z RODO na etapie planowania zmian.

Zamiast podsumowania: zalecenia dla działów HR

Przypadek McDonald’s pokazuje, jak kosztowne mogą być zaniedbania w obszarze ochrony danych pracowników. Łączne kary dla administratora sięgnęły niemal 17 milionów złotych. Aby uniknąć podobnych sytuacji, działy HR powinny wdrożyć następujące dobre praktyki:

• Regularna analiza ryzyka: przed uruchomieniem nowych systemów HR lub udostępnieniem danych pracowników partnerom zewnętrznym należy dokonać oceny ryzyka i adekwatności zabezpieczeń.
• Nadzór nad dostawcami (procesorami): zabezpieczenia potencjalnych dostawców usług przetwarzających dane osobowe pracowników powinny być weryfikowane. Konieczne jest zawarcie umowy powierzenia danych oraz egzekwowanie jej zapisów.
• Minimalizacja danych: gromadzone i przetwarzane powinny być wyłącznie takie dane pracowników, które są niezbędne do osiągnięcia założonego celu. Przechowywanie danych powinno być ograniczone wyłącznie do sytuacji, gdy jest to absolutnie konieczne – w pozostałych przypadkach zalecane jest używanie np. wewnętrznych numerów identyfikacyjnych.

Procedury reagowania na naruszenia: należy opracować plan reagowania na incydenty, obejmujący m.in. szybkie powiadomienie działu IT oraz osób, które zapewniają wsparcie w obszarze ochrony danych, ocenę ryzyka zdarzenia, terminowe zgłoszenie naruszenia do PUODO oraz powiadomienie poszkodowanych osób.