UODO: blisko 5,9 mln zł kary za żądanie skanów dokumentów tożsamości od użytkowników aplikacji
Prezes Urzędu Ochrony Danych Osobowych nałożył na spółkę obsługującą w Polsce aplikację GLOVO administracyjną karę pieniężną w wysokości 5 898 064 zł.
Powodem było pozyskiwanie od części użytkowników zdjęć lub skanów dowodów osobistych i paszportów w ramach procedury przeciwdziałania oszustwom. Organ nakazał również zaprzestanie zbierania i dalszego przetwarzania tych danych oraz ich usunięcie w terminie 30 dni od doręczenia decyzji.
Stan faktyczny
Aplikacja umożliwiała użytkownikom zamawianie i kupowanie produktów oferowanych przez partnerów GLOVO. Do założenia konta wystarczało podanie nazwy użytkownika, adresu e-mail i hasła.
W razie podejrzenia oszustwa spółka mogła jednak zażądać dodatkowej weryfikacji. Użytkownik był proszony m.in. o przesłanie zdjęcia karty płatniczej z częściowo widocznym numerem albo zdjęcia lub skanu dowodu osobistego bądź paszportu. W rezultacie GLOVO mogło uzyskać znacznie więcej danych, niż było potrzebne do obsługi zamówienia: m.in. imię i nazwisko, numer PESEL, datę i miejsce urodzenia, wizerunek, serię i numer dokumentu, obywatelstwo, płeć, imiona rodziców, a w przypadku starszych wzorów dokumentów także adres zamieszkania, wzrost czy kolor oczu.
Spółka wskazywała jako podstawę przetwarzania swój prawnie uzasadniony interes, polegający na ochronie przed oszustwami finansowymi (art. 6 ust. 1 lit. f RODO).
Istota stwierdzonego naruszenia
W ocenie Prezesa UODO samo dążenie do ograniczania oszustw jest uzasadnione, ale nie uprawnia przedsiębiorcy do pozyskiwania pełnych kopii dokumentów tożsamości. Organ uznał, że GLOVO nie miało podstawy prawnej do takiego przetwarzania i naruszyło trzy podstawowe zasady RODO, w tym: legalności, minimalizacji i rozliczalności.
Prezes UODO podkreślił, że szczególne uprawnienia do identyfikowania klientów na podstawie dokumentów tożsamości przysługują przede wszystkim podmiotom wyraźnie wskazanym w przepisach, np. instytucjom obowiązanym na gruncie ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. GLOVO nie należało do tej kategorii. Podstawy do kopiowania dokumentów nie dawały również przepisy o świadczeniu usług drogą elektroniczną.
Argumenty GLOVO i przyczyny ich nieuwzględnienia
GLOVO wskazywało przede wszystkim, że o dokument proszono wyłącznie w nielicznych i wyjątkowych przypadkach oraz że było to jedyne skuteczne narzędzie ochrony przed oszustwami. Argument ten nie przekonał organu. Sporadyczność działania nie usuwa bowiem braku podstawy prawnej, a cel powinien być realizowany za pomocą rozwiązań mniej ingerujących w prywatność użytkownika.
Spółka podnosiła również, że przeprowadziła ocenę skutków dla ochrony danych, test uzasadnionego interesu i wdrożyła procedurę antyfraudową. Prezes UODO uznał jednak, że takie dokumenty nie tworzą samodzielnie podstawy prawnej. Jeżeli dany proces jest niedopuszczalny już na poziomie art. 6 RODO, pozytywny wynik wewnętrznej analizy nie może go zalegalizować. Organ ocenił ponadto, że w analizach pierwszeństwo nadano interesowi spółki, a nie prawom użytkowników.
Co wpłynęło na wysokość kary?
Za szczególnie istotne Prezes UODO uznał:
-
wysoką wagę naruszenia, ponieważ dotyczyło ono fundamentalnych zasad RODO: legalności, minimalizacji i rozliczalności;
-
bardzo szeroki zakres danych, pozwalający na jednoznaczną identyfikację osoby i zwiększający ryzyko kradzieży tożsamości, oszustwa lub utraty kontroli nad danymi;
-
długi czas trwania naruszenia – według ustaleń organu proces był stosowany od 10 lipca 2019 r. i trwał przez blisko sześć lat;
-
potencjalnie dużą skalę, wynikającą z liczby aktywnych użytkowników aplikacji w Polsce;
-
umyślny charakter działania – spółka dysponowała wsparciem prawnym i inspektorem ochrony danych, a mimo wszczęcia postępowania oraz poznania zastrzeżeń organu nie zaprzestała przetwarzania;
-
brak okoliczności łagodzących.
Chociaż nie wykazano, aby użytkownicy ponieśli rzeczywistą szkodę, organ zwrócił uwagę na ryzyko szkody niemajątkowej, w szczególności obawę przed wykorzystaniem danych, kradzieżą tożsamości lub stratą finansową.
Znaczenie decyzji dla przedsiębiorców oferujących aplikacje i usługi online
Decyzja stanowi ważny sygnał dla wszystkich podmiotów świadczących usługi cyfrowe. Aplikacje i usługi świadczone online nie powinny wymagać od użytkowników przedstawiania ani przesyłania kopii dowodów osobistych lub paszportów. Taki mechanizm może być dopuszczalny jedynie wyjątkowo, gdy istnieje wyraźna podstawa prawna, a administrator potrafi wykazać rzeczywistą niezbędność pozyskania tak szerokiego zakresu danych. Sam cel w postaci przeciwdziałania nadużyciom, zapewnienia bezpieczeństwa transakcji czy ochrony majątku przedsiębiorcy nie wystarcza.
Warto przy tym pamiętać, że nawet poprawnie sporządzony test równowagi, ocena skutków dla ochrony danych lub procedura bezpieczeństwa nie zastępują podstawy prawnej. Dokumentacja ma potwierdzać zgodność procesu z RODO, a nie uzasadniać proces, który od początku jest nadmiarowy.
Jak możemy pomóc?
Nasza kancelaria świadczy usługi doradcze w zakresie ochrony danych osobowych. Na Państwa życzenie możemy przeprowadzić weryfikację zgodności aplikacji lub usługi online z przepisami, w tym ocenę procesów rejestracji i identyfikacji użytkowników, mechanizmów zapobiegających oszustwom, podstaw prawnych przetwarzania, zakresu zbieranych danych oraz okresów ich przechowywania.
Oferujemy również audyt regulaminów usług i aplikacji, polityk prywatności, klauzul informacyjnych oraz wewnętrznych procedur dotyczących obsługi użytkowników.
Zapraszamy do kontaktu.
Paweł Płonka
Radca prawny
