Inspektorzy ODO

Brak współpracy z Organem to naruszenie ale to późniejsza postawa będzie decydowała o karze.

Postępowanie dotyczyło naruszenia obowiązku współpracy z organem nadzorczym oraz obowiązku zapewnienia dostępu do informacji (art. 31 i art. 58 ust. 1 RODO).

Spółka, mimo prawidłowego doręczenia wezwań, nie udzieliła wyjaśnień, co uniemożliwiło terminowe rozpoznanie sprawy. Prezes UODO wszczął postępowanie w przedmiocie nałożenia administracyjnej kary pieniężnej za naruszenie obowiązku współpracy oraz obowiązku zapewnienia dostępu do informacji.

Spółka w toku postępowania przedstawiła wyjaśnienia braku udzielenia informacji oraz podjęła współpracę z organem, usuwając wcześniejsze naruszenie i umożliwiając dalsze prowadzenie sprawy.

Organ uznał, że naruszenie miało charakter odwracalny, zostało usunięte w toku postępowania, a jego skutki nie były trwałe. Nie stwierdzono działania w złej wierze ani celowego utrudniania postępowania, natomiast samo wszczęcie postępowania sankcyjnego zostało ocenione jako wystarczająco dyscyplinujące, uzasadniające odstąpienie od nałożenia kary pieniężnej na rzecz zastosowania upomnienia.
Link: https://orzeczenia.uodo.gov.pl/document/urn:ndoc:gov:pl:uodo:2025:dke_561_7/content?query=

Bonifraterskie Centrum Medyczne opublikowało zawiadomienie o w wyniku :

https://bcmbonifratrzy.pl/aktualnosci/zawiadomienie-o-naruszeniu-ochrony-danych-osobowych-w-bonifraterskim-centrum-medycznym-sp-z-o-o/

Zdarzenie obejmuje:
• naruszenie dostępności danych (szyfrowanie),
• istnieje wysokie ryzyko naruszenia poufności (potencjalna eksfiltracja),

O czym warto pamiętać:
• przy ocenie ryzyka, atak typu ransomware należy traktować jako scenariusz bazowy, nie incydentalny,
• przy doborze środków technicznych i organizacyjnych należy uwzględnić ich realny wpływ na zagrożenie (np. backup offline, segmentacja i monitoring sieci, antywirus). Przyjęcie dokumentacji nie wpłynie na zmniejszenie ryzyka,
• brak dowodów eksfiltracji danych nie równa się braku naruszenia poufności,
• czas reakcji i jakość pierwszej analizy incydentu mają kluczowe znaczenie dla ograniczenia skutków zdarzenia. Dlatego niezbędne jest zapewnienie sprawnych i przećwiczonych procedur zgłaszania naruszeń, opracowanie procedur w przedmiocie zapewnienia ciągłości działania oraz regularne testowanie przyjętych rozwiązań i scenariuszy incydentowych.

W sprawozdaniu Prezesa UODO za 2024 rok wskazano, że wśród analizowanych spraw pojawiały się również skargi dotyczące nieprawidłowego wykonania obowiązku sprostowania danych oraz problemów z aktualizacją lub usuwaniem informacji na żądanie osób, których dane dotyczą.

UODO podkreśla, że zgodnie z zasadą prawidłowości (art. 5 ust. 1 lit. d RODO) administrator ma obowiązek dbać o to, by dane osobowe były dokładne i aktualne, a proces wprowadzania zmian – skuteczny.

To oznacza, że administrator powinien wdrożyć procedury zapewniające:

• szybkie wprowadzenie zgłoszonych zmian,
• regularne przeglądy danych,
• właściwą komunikację między działami odpowiedzialnymi za np. obsługę klienta, księgowością i windykacją.

Brak aktualizacji danych lub opóźnienia w realizacji żądania sprostowania mogą prowadzić do naruszenia praw osób, których dane dotyczą – w tym prawa wynikającego z art. 16 i art. 17 RODO.
W praktyce jest to obszar, który wciąż wymaga uważności, zwłaszcza w małych firmach, gdzie procesy aktualizacji często nie są sformalizowane.

Potrzebujesz wsparcia w uporządkowaniu procedur? Skontaktuj się z nami:

📞 https://inspektorzyodo.pl