DPD ukarane wielomilionową karą za naruszenie przepisów RODO

Prezes Urzędu Ochrony Danych Osobowych nałożył ponad 11 mln zł kary na firmę kurierską DPD za naruszenie przepisów RODO - poinformował w poniedziałek UODO. Według Urzędu, DPD korzystała z usług zewnętrznych przewoźników transportowych bez zawarcia z nimi umów dot. przetwarzania danych osobowych.

UODO zwrócił uwagę, że firma DPD Polska korzystała z niektórych usług transportowych zewnętrznych przewoźników bez uprzedniego zawarcia z nimi umów powierzenia przetwarzania danych osobowych. Spółka argumentowała, że nie było to potrzebne, ponieważ przedmiotem umowy była czynność przewozu, która - zdaniem DPD - nie łączyła się z przetwarzaniem przez przewoźników danych osobowych. „Prezes UODO nie podzielił poglądu spółki, uznając, że nie zawierając z ww. przewoźnikami umów powierzenia przetwarzania, naruszyła ona art. 28 ust. 3 RODO” - przekazano.

Urząd podkreślił, że w procesie doręczania przesyłek administrator przetwarzał następujące dane: imiona, nazwiska, adres poczty elektronicznej, numer telefonu, adresy (nadania, doręczenia, przekierowania przesyłki), numer konta bankowego (w przypadku usługi doręczenia za pobraniem), nazwę firmy, numer przesyłki oraz podpis własnoręczny nadawcy i adresata. Zdaniem Urzędu, spółka jako administrator danych osobowych nie zapewniła również, żeby ich przetwarzanie odbywało się wyłącznie na polecenie administratora.

W komunikacie podkreślono, że zewnętrzni przewoźnicy zobowiązani byli do uczestniczenia w załadunku i wyładunku przesyłek, mając tym samym dostęp do znajdujących się na nich etykiet adresowych z danymi osobowymi. [...]