McDonald’s Polska ma zapłacić miliony zł kary. Nie zabezpieczył danych pracowników

W komunikacie Urzędu Ochrony Danych Osobowych opisano, że McDonald’s Polska powierzył zewnętrznej firmie przetwarzanie danych osobowych pracowników swoich lokali gastronomicznej. Celem było zarządzanie grafikami pracy.

Uzasadniono, że „brak analizy ryzyka tego procesu, wdrożenia odpowiednich zabezpieczeń, realizacji postanowień umowy powierzenia przetwarzania danych osobowych doprowadziły do ujawnienia danych osobowych w publicznie dostępnym katalogu”.

>>> Praca.Wirtualnemedia.pl - tysiące ogłoszeń z mediów i marketingu

W ramach postępowania UODO zaznaczył, że obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych odnosi się zarówno do administratora, jak i podmiotu przetwarzającego.

Jak upubliczniono dane pracowników i franczyzobiorców McDonald’s

Zaznaczono, że McDonald’s zgłosił prezesowi UODO naruszenie ochrony danych osobowych. – Administrator ustalił, że w udostępnionym pliku w publicznym katalogu były dane pracowników McDonald’s i jego franczyzobiorców:  imiona i nazwiska, numery PESEL, numery paszportów (w przypadku braku numeru PESEL), numeru restauracji McDonald’s, daty i godziny rozpoczęcia pracy, daty i godziny zakończenia pracy, liczby przepracowanych godzin, stanowiska, dni wolne, rodzaj dnia oraz rodzaj pracy – wyliczona.

W tej sprawie została ukarana także agencja 24/7 Communication, ponieważ McDonald’s podpisał z nią nie tylko umowę dotyczącą usług public relations, lecz także umowę powierzenia przetwarzania danych osobowych.

W ramach tej drugiej „przetwarzane były dane pracowników zgromadzone w „module grafik pracowniczy” i udostępniane pracownikom restauracji McDonald’s, franczyzobiorcom i ich pracownikom, za pośrednictwem prowadzonego przez administratora serwisu”.

UODO wskazał poważne zastrzeżenia wobec tej sytuacji. – Administrator nie posiadał uprawnień do zarządzania zasobami i konfiguracją systemu informatycznego zawierającego moduł grafików pracowniczych. Takie uprawnienia posiadał jedynie podmiot przetwarzający. Cały proces, w tym obsługa, została przez administratora zlecona podmiotowi przetwarzającemu. Moduł grafików nie posiadał odrębnego panelu administracyjnego i chociaż istniała taka możliwość, administrator nigdy nie zwrócił się do podmiotu przetwarzającego o przyznanie takiego dostęp – opisano.

McDonald’s Polska i 24/7 Communication z grzywnami

Na McDonald’s Polska została nałożona karę w kwocie 16,93 mln zł, a na obsługującą firmę agencję public relations 24/7 Communication – 183,9 tys. zł.

Grzywny nie są prawomocne, ukarane firmy mogą odwołać się do sądu.