McDonald's ukarany przez UODO - lekcje z rekordowej kary za naruszenie RODO (DKN.5130.4179.2020)

W skrócie: powierzenie przetwarzania nie przenosi odpowiedzialności na wykonawcę. McDonald’s Polska zapłacił blisko 17 mln zł nie za włamanie, tylko za to, że wybrał procesora bez sprawdzenia jego kompetencji technicznych, nigdy go nie skontrolował, choć umowa na to pozwalała, i nie miał nawet dostępu do panelu administracyjnego systemu. Procesor dostał osobną karę ponad 183 tys. zł, bo obowiązki z RODO ciążą na nim niezależnie od treści umowy i budżetu.

Prezes UODO nałożył na McDonald’s Polska karę pieniężną w wysokości niemal 17 milionów złotych za szereg naruszeń przepisów o ochronie danych osobowych. To druga co do wysokości kara administracyjna w historii polskiego organu nadzorczego.

Co się wydarzyło?

W lipcu 2020 roku doszło do poważnego incydentu bezpieczeństwa. W wyniku błędnej konfiguracji serwera, dane osobowe pracowników McDonald’s oraz franczyzobiorców znalazły się w publicznie dostępnym katalogu internetowym. Wykradziony plik zawierał wrażliwe dane: imiona i nazwiska, numery PESEL, numery paszportów, szczegółowe grafiki pracy oraz informacje o stanowiskach. Dostęp do tych danych mógł uzyskać każdy użytkownik internetu.

Jakie błędy popełnił administrator?

1. Niewłaściwy wybór podmiotu przetwarzającego

McDonald’s powierzył przetwarzanie danych osobowych firmie 24/7 Communication - agencji PR, która dodatkowo oferowała moduł do zarządzania grafikami pracowniczymi. Organ nadzorczy stwierdził, że administrator nie dokonał rzetelnej weryfikacji tego podmiotu pod kątem zdolności do zabezpieczenia danych. Wybór oparto jedynie na wcześniejszej współpracy w zakresie public relations, bez sprawdzenia kompetencji technicznych.

2. Brak analizy ryzyka i odpowiednich zabezpieczeń

Zarówno McDonald’s, jak i podmiot przetwarzający nie przeprowadzili wymaganej analizy ryzyka dla procesu przetwarzania danych w aplikacji do zarządzania grafikami. Konsekwencją tego było niewdrożenie adekwatnych środków technicznych i organizacyjnych. UODO podkreślił, że bez analizy ryzyka niemożliwe jest określenie właściwych zabezpieczeń.

3. Brak nadzoru nad powierzeniem

McDonald’s nie sprawował należytego nadzoru nad powierzonymi danymi. Firma nigdy nie przeprowadziła audytu u podmiotu przetwarzającego, mimo że umowa powierzenia przewidywała taką możliwość. Administrator nie miał nawet dostępu do panelu administracyjnego systemu i nigdy o taki dostęp nie występował.

4. Naruszenie zasady minimalizacji danych

System zawierał nadmiarowe dane - numery PESEL i paszportów wykorzystywane były jedynie jako identyfikatory pracowników. Dopiero po incydencie zastąpiono je zwykłymi numerami identyfikacyjnymi, co UODO uznał za działanie spóźnione.

Czy podmiot przetwarzający odpowiada osobno?

UODO nałożył również karę na podmiot przetwarzający (24/7 Communication) w wysokości ponad 183 tysięcy złotych. Organ podkreślił, że obowiązki wynikające z RODO mają charakter publicznoprawny i nie mogą być wyłączone umową czy ograniczeniami budżetowymi. Podmiot przetwarzający:

• Nie przeprowadził analizy ryzyka
• Nie wdrożył odpowiednich zabezpieczeń
• Korzystał z usług podwykonawcy bez zawarcia umowy podpowierzenia
• Nie włączał inspektora ochrony danych w kluczowe procesy

Wnioski dla przedsiębiorców

Decyzja UODO stanowi istotną lekcję dla wszystkich administratorów danych:

1. Weryfikacja podwykonawców - wybór podmiotu przetwarzającego musi być poprzedzony rzetelną analizą jego kompetencji technicznych i organizacyjnych w zakresie ochrony danych.

2. Analiza ryzyka - to fundament systemu ochrony danych. Bez niej niemożliwe jest wdrożenie adekwatnych zabezpieczeń.

3. Aktywny nadzór - powierzenie przetwarzania nie zwalnia z odpowiedzialności. Administrator musi regularnie kontrolować sposób przetwarzania danych przez procesorów.

4. Minimalizacja danych - należy przetwarzać tylko te dane, które są rzeczywiście niezbędne do realizacji celu.

5. Rola IOD - inspektor ochrony danych powinien być włączany we wszystkie kluczowe procesy związane z przetwarzaniem danych osobowych.

Sprawa McDonald’s pokazuje, że UODO coraz skuteczniej egzekwuje przepisy RODO, a kary mogą sięgać milionów złotych. Warto wyciągnąć wnioski z cudzych błędów i zadbać o właściwe zabezpieczenie danych w swojej organizacji. Jeśli naruszenie już wystąpiło, kolejnym krokiem jest jego prawidłowe zgłoszenie i udokumentowanie - opisuję to w omówieniu poradnika UODO dotyczącego naruszeń.

Najczęściej zadawane pytania

Jaką karę nałożył UODO na McDonald's Polska i za co?

UODO nałożył na McDonald's Polska karę niemal 17 milionów złotych (druga najwyższa w historii polskiego organu nadzorczego) za wyciek danych osobowych pracowników i franczyzobiorców, do którego doszło w lipcu 2020 r. przez błędną konfigurację serwera podmiotu przetwarzającego. Wyciekły m.in. numery PESEL, numery paszportów i grafiki pracy.

Jaką karę otrzymał podmiot przetwarzający dane w tej sprawie?

Firma 24/7 Communication, której McDonald's powierzył przetwarzanie danych w aplikacji do zarządzania grafikami pracowniczymi, otrzymała karę ponad 183 tysięcy złotych. UODO zarzucił jej brak analizy ryzyka, brak odpowiednich zabezpieczeń oraz korzystanie z podwykonawcy bez zawartej umowy podpowierzenia.

Jakie błędy popełnił McDonald's przy wyborze i nadzorze nad podmiotem przetwarzającym?

McDonald's wybrał firmę PR-ową do zarządzania grafikami wyłącznie na podstawie wcześniejszej współpracy, bez weryfikacji jej kompetencji technicznych w ochronie danych. Nigdy nie przeprowadził audytu u tego podmiotu, mimo że umowa powierzenia to przewidywała, i nie miał nawet dostępu do panelu administracyjnego systemu.

Dostęp do tekstu decyzji UODO: DKN.5130.4179.2020.

Źródła

• Rozporządzenie (UE) 2016/679 (RODO)

Stan prawny na dzień publikacji: 28.07.2025. Wpis nie był od tego czasu weryfikowany pod kątem zmian w przepisach. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).