#fines #privacy #GDPR

Где: Польша
Кого: Гос орган
Штраф: 40 000 PLN (667 200руб) и срок устранения нарушений: 60 дней
Нарушение: Мэр города не заключил Personal data processing agreement (на наш лад: поручение а обработку ПДн) с организациями, которым передавал данные.
Одна компания хостила серверы с системами Public Information Bulletin
(BIP), другая компания разрабатывала софт для BIP.

В той же BIP были нарушены сроки хранения данных.

Не соблюдался принцип конфиденциальности и целостности: отсутствие резервирования данных, тк записи встреч с заседаний городского совета публиковались только на YouTube, а также риск-анализ не проводился, чтобы определить, можно ли вообще эти записи публиковать на YouTube.

В RoPA (реестр процессов обработки ПДн) отсутствовала информация о получателях ПДн, не была указана планируемая дата удаления данных для некоторых процессов.

«Штрафанули так штрафанули», тк оператор не исправил нарушения в ходе проверки и не взаимодействовал с надзорным органом.
Источник: проверка регулятора
Статьи: 28(3), 5(1)(a), 5(1)(f), 5(1)(e), 5(2)
Ссылки: EDPB