Kary za RODO również dla podmiotów publicznych

Prezes Urzędu Ochrony Danych Osobowych (UODO) nałożył 40 tysięcy złotych kary za nieprzestrzeganie przepisów RODO na burmistrza Aleksandrowa Kujawskiego.

Kara dotyczy funkcjonowania miejskiego Biuletynu Informacji Publicznej (BIP).

Głównym zarzutem wobec burmistrza jest brak stosownej umowy regulującej powierzenie danych z firmą na której serwerach znajduje się miejski BIP. Burmistrz nie zawarł również umowy z wykonawcą odpowiedzialnym za jego stworzenie i serwisowanie. Zdaniem UODO doszło do naruszenia art. 28 ust. 3 RODO, który mówi o konieczności zawarcia umowy powierzenia między administratorem a wykonawcą, który w jego imieniu przetwarza dane. Brak umowy oznaczał bezprawne przekazywanie danych osobowych.

Dodatkowo, Biuletyn Informacji Publicznej nie był właściwie nadzorowany – opublikowano w nim np. oświadczenia majątkowe z 2010 roku. Zgodnie z prawem takie oświadczenia można przechowywać przez 6 lat.

Urząd ustalił również, że miasto zamieszczało sesje rady miejskiej na kanale na YouTube bez zapasowych kopii. Na BIP-ie zamieszczano jedynie linki do opublikowanych materiałów na YouTube. Brak zapasowych kopii mógł skutkować np. utratą zapisów.

Prezes UODO nakładając karę brał pod uwagę brak woli współpracy, a także to, że pomimo znalezienia błędów przez organ nadzoru miasto nie zdecydowało się na ich usunięcie i nie zabezpieczyło się przed wystąpieniem podobnych naruszeń w przyszłości. Miasto ma 60 dni na naprawienie stwierdzonych naruszeń.