Σύγκρουση συμφερόντων του DPO: 232.000 ευρώ πρόστιμο στα Πολωνικά Ταχυδρομεία

Πρόστιμο ύψους 232.000 ευρώ επέβαλε η πολωνική αρχή προστασίας δεδομένων UODO στα Πολωνικά Ταχυδρομεία για την παραβίαση των προβλέψεων του άρθρου 38 παρ.3 και 6 ΓΚΠΔ, σχετικά με την ανεξαρτησία και τη σύγκρουση συμφερόντων του ορισθέντος Υπευθύνου Προστασίας Δεδομένων (DPO).

Το ζήτημα αυτό προέκυψε μετά από γνωστοποίηση παραβίασης δεδομένων, την οποία υπέβαλε η εταιρεία τον Φεβρουάριο του 2023, σχετικά με μη εξουσιοδοτημένη πρόσβαση σε δεδομένα που περιλαμβάνονταν σε έντυπο με φορολογικά δεδομένα . Στο πλαίσιο της διερεύνησης του συμβάντος, η πολωνική αρχή εξέτασε ευρύτερα το καθεστώς ορισμού και άσκησης καθηκόντων του DPO της εταιρείας και διαπίστωσε ότι το πρόσωπο που είχε οριστεί αποτελούσε ταυτόχρονα και επικεφαλής της οργανικής μονάδας που ήταν αρμόδια για την ασφάλεια πληροφοριακών συστημάτων και την προστασία δεδομένων. Σαν να μην έφτανε αυτό, ο εν λόγω Διευθυντής είχε λάβει και την πληρεξουσιότητα να εκπροσωπεί την εταιρεία ενώπιον εποπτικής αρχής και δικαστηρίων για υποθέσεις προστασίας δεδομένων.

Η εταιρεία εκλήθη, αλλά δεν κατάφερε να αποδείξει ότι είχε διενεργήσει τεκμηριωμένη ανάλυση σύγκρουσης συμφερόντων ως προς τον συνδυασμό των καθηκόντων αυτών. Παρότι υποστήριξε ότι είχε πραγματοποιηθεί σχετική αξιολόγηση, παραδέχθηκε ότι αυτή δεν είχε αποτυπωθεί εγγράφως, ούτε και είχε διαμορφωθεί σαφές πλαίσιο προτεραιοποίησης των καθηκόντων του DPO, σε περίπτωση σύγκρουσής τους με άλλες υποχρεώσεις του προσώπου που είχε οριστεί.

Ο UODO έκρινε ότι έκρινε ότι ο ορισθείς DPO, λόγω των αρμοδιοτήτων του ως επικεφαλής της αρμόδιας διεύθυνσης, συμμετείχε στον καθορισμό των σκοπών και των μέσων της επεξεργασίας, ρόλος που είναι ασύμβατος με την ανεξαρτησία που πρέπει να χαρακτηρίζει τον Υπεύθυνο Προστασίας Δεδομένων. Ως εκ τούτου, το ίδιο πρόσωπο όφειλε αφενός να αποφασίζει για ζητήματα επεξεργασίας και αφετέρου να ελέγχει τη νομιμότητά τους, γεγονός που, κατά την πολωνική αρχή, συνιστούσε προφανή σύγκρουση συμφερόντων. Παράλληλα, η εκπροσώπηση της εταιρείας έναντι της εποπτικής αρχής και των δικαστηρίων κρίθηκε ότι έθιγε την ανεξαρτησία και την αντικειμενικότητα του DPO, από τη στιγμή που αυτός, ενεργώντας ως νόμιμος εκπρόσωπος της εταιρείας, όφειλε να υπερασπίζεται τις θέσεις της.

Παράλληλα, η πολλαπλή αυτή ανάθεση αρμοδιοτήτων κρίθηκε ότι αποτελούσε εμπόδιο και στη δυνατότητα επαρκούς χρονικά άσκησης των καθηκόντων του DPO. Η εταιρεία δεν μπόρεσε να αποδείξει ότι είχε προηγουμένως αξιολογήσει αν ο ορισθείς DPO διέθετε πράγματι τον απαιτούμενο χρόνο για την ουσιαστική και ανεξάρτητη άσκηση των καθηκόντων του βάσει του άρθρου 39 ΓΚΠΔ, αφού άλλωστε δεν είχε μεριμνήσει για την κατανομή του χρόνου εργασίας μεταξύ των επιμέρους ρόλων του. Σύμφωνα με την πολωνική αρχή, η παράλειψη αυτή δημιουργούσε τον κίνδυνο ο DPO να υποχρεώνεται εκ των πραγμάτων να επιλέγει ποια καθήκοντα θα εκπληρώσει, γεγονός που μπορούσε να επηρεάσει αρνητικά την αποτελεσματικότητα και τη συνεχή παρακολούθηση της συμμόρφωσης της εταιρείας με τον ΓΚΠΔ.

Στο σκεπτικό της, η εποπτική αρχή επεσήμανε ότι η κατάσταση αυτή διατηρήθηκε επί μακρόν, ήδη από το καθεστώς της προϊσχύσασας νομοθεσίας, και συνεχίσθηκε έως το 2024, όταν καταργήθηκε η συγκεκριμένη οργανική μονάδα. Τον Μάρτιο του 2025, και ενώ η έρευνα του UODO βρισκόταν ήδη σε προχωρημένο στάδιο, η εταιρεία προέβη σε τροποποίηση του οργανισμού της, καθιστώντας τη θέση του DPO αυτοτελή μονάδα, υπαγόμενη απευθείας στο Διοικητικό Συμβούλιο, και περιορίζοντας τα καθήκοντά του ορισθέντος αποκλειστικά σε όσα απορρέουν από τον ΓΚΠΔ.

Ως επιβαρυντικό στοιχείο συνεκτιμήθηκαν προηγούμενες αποφάσεις της πολωνική αρχής με τις οποίες είχαν διαπιστωθεί άλλες παραβάσεις του ΓΚΠΔ από την ίδια εταιρεία, ενώ αντίθετα, ελαφρυντικά αξιολογήθηκαν οι πρωτοβουλίες που ελήφθησαν, έστω και με καθυστέρηση, για άρση των δυσλειτουργιών που είχαν διαπιστωθεί. Με βάση τα ανωτέρω, το επιβληθέν πρόστιμο ανήλθε τελικώς στο ποσό των 978.128 ζλότι, ήτοι περίπου 232.000 ευρώ.