Sułkowicki Ośrodek Kultury powierzył przedsiębiorcy przetwarzanie danych osobowych bez zawartej umowy na piśmie, a także nie przeprowadził weryfikacji, czy podmiot przetwarzający zapewnia wystarczające gwarancje wdrożenia odpowiednich środków określonych wymaganiami RODO.

Prezes Urzędu Ochrony Danych Osobowych stwierdził naruszenie i nałożył na ośrodek administracyjną karę pieniężną w kwocie 2.500 zł.

W toku postępowania organ nadzoru ustalił, że administrator zlecił – bez pisemnej umowy – podmiotowi prowadzenie ksiąg rachunkowych, ewidencji i sporządzania raportów (w obszarze finansów, podatków i ZUS) oraz przetwarzanie danych osobowych obecnych i byłych pracowników ośrodka m.in. w zakresie imion, nazwisk, dat urodzenia, numerów rachunków bankowych i numerów PESEL.

Organ nadzoru przypomniał, że na podstawie art. 28 RODO administrator, który chce przetwarzać dane przy pomocy innego podmiotu, korzysta z usług takich podmiotów, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą.

Przetwarzanie danych przez podmiot przetwarzający odbywa się na podstawie umowy, która może mieć formę pisemną, w tym elektroniczną.

Ośrodek kultury był administratorem przetwarzanych przez siebie danych osobowych byłych i obecnych pracowników i to właśnie na nim ciąży odpowiedzialność za dobór podmiotu przetwarzającego.

Wymierzając karę pieniężną Prezes UODO wskazał, że stwierdzone naruszenia mają znaczną wagę, bowiem mogą doprowadzić do szkód majątkowych lub niemajątkowych dla osoby, której dane zostały naruszone, a prawdopodobieństwa ich wystąpienia nie można wykluczyć.

Źródło: uodo.gov.pl