Dane klientów w prywatnych telefonach. UODO interweniuje

Stan faktyczny

Sprawa dotyczyła przetwarzania danych klientów Energa-Obrót w ramach sieci sprzedaży bezpośredniej. Spółka, będąca administratorem, powierzała dane partnerom biznesowym, którzy korzystali następnie z usług dalszego podmiotu zatrudniającego przedstawicieli handlowych.

Przedstawiciele handlowi działający na rzecz spółki odwiedzali klientów w domach, proponując im zawarcie nowych umów lub podpisanie aneksów. Dostęp do systemu administratora miały wybrane osoby wykonujące zadania zaplecza administracyjnego. Osoby prowadzące sprzedaż w terenie nie dysponowały takim dostępem i posługiwały się papierowymi dokumentami.

W lipcu 2020 r. dalszy podmiot przetwarzający wprowadził dodatkowy sposób komunikacji. Jego pracownicy zaczęli korzystać z aplikacji WhatsApp, która nie została zaakceptowana ani zweryfikowana przez administratora. W grupowych konwersacjach przesyłano zdjęcia i skany umów oraz fotografie ekranów zawierających dane klientów. Komunikator instalowano także na prywatnych telefonach handlowców.

Nieprawidłowość ujawniono w marcu 2021 r. Były pracownik dalszego podmiotu przetwarzającego zwrócił się do Energa-Obrót o pomoc w wyegzekwowaniu należności od dawnego pracodawcy. Podczas rozmowy pokazał ekran prywatnego telefonu. Mimo zakończenia współpracy przez cały czas posiadał archiwalną korespondencję grupową, w tym skany i zdjęcia dokumentów klientów. Część materiałów została również przekazana dziennikarzowi.

Administrator przeprowadził postępowanie wyjaśniające. Ustalił, iż aplikacja była używana przez wiele miesięcy, umożliwiała zapisywanie załączników w pamięci urządzeń oraz przechowywała historię korespondencji. Nie funkcjonował przy tym skuteczny mechanizm kontroli usuwania danych z telefonów osób, z którymi zakończono współpracę. Z raportu administratora wynikało także podejrzenie, iż komunikacja dzięki aplikacji odbywała się częściowo poza Europejskim Obszarem Gospodarczym.

Energa-Obrót stwierdziła naruszenie ochrony danych 13.4.2021 r. i tego samego dnia zgłosiła je Prezesowi UODO. Według ustaleń zdarzenie dotyczyło z pewnością 15 osób, choć nie można było wykluczyć większej liczby klientów. Zakres danych obejmował między innymi imiona, nazwiska, adresy, numery PESEL, adresy e-mail, numery telefonów, numery klienta oraz numery punktów poboru energii.

Postępowanie administracyjne wszczęto 2.3.2022 r. Początkowo obejmowało administratora, jednego agenta i dalszy podmiot przetwarzający. W toku sprawy organ ustalił, iż w procesie uczestniczył również drugi agent. W lipcu 2025 r. postępowanie rozszerzono na ten podmiot.

Stan prawny

W sprawie zastosowanie znalazły przede wszystkim przepisy RODO dotyczące odpowiedzialności administratora, wyboru procesorów i bezpieczeństwa przetwarzania.

Artykuł 5 ust. 1 lit. f RODO ustanawia zasadę integralności i poufności. Dane powinny być przetwarzane w sposób zapewniający ochronę przed niedozwolonym dostępem, ujawnieniem, utratą lub zniszczeniem. Z art. 5 ust. 2 RODO wynika natomiast zasada rozliczalności, zgodnie z którą administrator musi być w stanie wykazać przestrzeganie przepisów.

Na podstawie art. 24 ust. 1 RODO administrator powinien wdrożyć środki techniczne i organizacyjne odpowiednie do charakteru przetwarzania i poziomu ryzyka. Artykuł 25 ust. 1 RODO wymaga uwzględniania ochrony danych już na etapie określania sposobów przetwarzania oraz w trakcie jego wykonywania.

Zgodnie z art. 28 ust. 1 RODO administrator może korzystać wyłącznie z usług procesorów zapewniających wystarczające gwarancje wdrożenia odpowiednich zabezpieczeń. Samo zawarcie umowy powierzenia nie jest zatem wystarczające. Konieczna jest rzeczywista ocena zdolności kontrahenta do bezpiecznego i zgodnego z prawem przetwarzania danych.

Artykuł 28 ust. 4 RODO przewiduje, iż na dalszy podmiot przetwarzający należy nałożyć te same obowiązki ochrony danych, które obowiązują pierwszego procesora. Każdy podmiot uczestniczący w łańcuchu powierzenia pozostaje jednocześnie zobowiązany do wykonywania własnych obowiązków wynikających z art. 32 RODO.

Przepis ten nakazuje stosowanie zabezpieczeń odpowiadających ryzyku, z uwzględnieniem charakteru, zakresu i celu przetwarzania, stanu wiedzy technicznej oraz możliwych konsekwencji dla osób fizycznych. Obejmuje to także regularne testowanie i ocenianie skuteczności zastosowanych środków.

Argumentacja organu

Prezes UODO przyjął, iż źródłem naruszenia nie było wyłącznie samowolne uruchomienie komunikatora przez dalszy podmiot przetwarzający. Nieprawidłowości wystąpiły na kilku poziomach organizacji sprzedaży.

Analizy ryzyka administratora i agentów nie obejmowały możliwości korzystania przez handlowców z prywatnych urządzeń i nieautoryzowanych aplikacji. Zdaniem organu ryzyko wprowadzenia nieformalnych sposobów wymiany informacji powinno zostać uwzględnione ze względu na specyfikę pracy. Handlowcy wykonywali zadania poza siedzibą organizacji, odwiedzali klientów w domach i nie mieli bezpośredniego dostępu do systemu administratora.

Ogólne postanowienia umów oraz nakaz korzystania wyłącznie z dostarczonych narzędzi nie stanowiły wystarczającego zabezpieczenia. Analiza ryzyka nie może być czynnością jednorazową. Powinna uwzględniać zmiany organizacji pracy, sposobu wykonywania zadań i wykorzystywanych technologii.

W odniesieniu do Energa-Obrót organ zakwestionował także sposób wyboru procesorów. Spółka badała między innymi ich doświadczenie sprzedażowe, uczciwość, zachowanie poufności oraz udział handlowców w szkoleniach. Nie wykazała jednak, iż podmioty te zapewniały wystarczające gwarancje wdrożenia środków technicznych i organizacyjnych wymaganych przez RODO.

Administrator nie mógł przenieść odpowiedzialności za dalszą ocenę procesorów wyłącznie na agentów. Także agenci nie mogli ograniczyć swojej roli do wykonywania instrukcji spółki ani powoływać się na to, iż rozwiązania informatyczne były dostarczane przez administratora. Obowiązki z art. 32 RODO dotyczą zarówno administratora, jak i podmiotów przetwarzających.

Najdalej idące naruszenia organ przypisał dalszemu podmiotowi przetwarzającemu. To on dopuścił używanie niezweryfikowanej aplikacji na prywatnych urządzeniach, nie przeprowadził odpowiedniej analizy ryzyka i nie ustanowił skutecznych zasad kontroli danych zapisanych na telefonach. Nie zweryfikował także, czy informacje zostały trwale usunięte po zakończeniu współpracy z pracownikami.

Szyfrowanie komunikacji nie przesądzało o bezpieczeństwie całego procesu. Pliki mogły być pobierane na urządzenia, pozostawały w historii rozmów i były dostępne po ustaniu upoważnienia. Podpisanie zobowiązań do poufności oraz wydanie upoważnień nie zastępowało środków pozwalających kontrolować dostęp, przechowywanie i usuwanie danych.

Rozstrzygnięcie

Prezes UODO stwierdził, iż Energa-Obrót naruszyła art. 24 ust. 1, art. 25 ust. 1, art. 28 ust. 1 oraz art. 32 ust. 1 i 2 RODO. Prowadziło to również do naruszenia zasad integralności i poufności oraz rozliczalności, co, biorąc pod uwagę okoliczności sprawy, skutkowało udzieleniem spółce upomnienia.

Upomnienia udzielono także dwóm agentom za naruszenie art. 32 ust. 1 i 2 w związku z art. 28 ust. 4 RODO.

Natomiast na dalszy podmiot przetwarzający nałożono administracyjną karę pieniężną w wysokości 10 145 zł. Organ uwzględnił między innymi czas trwania naruszenia, zakres danych, zawodowy charakter przetwarzania oraz utratę kontroli nad informacjami pozostającymi na urządzeniu byłego pracownika. W pozostałym zakresie postępowanie umorzono.

Komentarz