Chodzi o incydent z 22 lipca 2020 roku, kiedy doszło do ujawnienia pliku z serwisu wyświetlającego grafiki pracownicze sieci McDonald’s. Jak wówczas podano, powodem wycieku było "omyłkowe umieszczenie kopii bazy danych w nieprzeznaczonym do tego folderze".
Sieć informowała na swojej stronie internetowej, że dane dotyczą osób zatrudnionych w restauracjach McDonald’s w Polsce i u franczyzobiorców w okresie od maja 2014 roku do stycznia 2019 roku. W udostępnionym pliku były takie dane, jak m.in.: imiona i nazwiska, numery PESEL, numery paszportów (w przypadku braku numeru PESEL), numeru restauracji McDonald’s, daty i godziny rozpoczęcia pracy, daty i godziny zakończenia pracy, liczby przepracowanych godzin, stanowiska, dni wolne, rodzaj dnia oraz rodzaj pracy.
W poniedziałek poinformowano, że Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski za ten incydent nałożył na McDonald’s Polska kary w łącznej wysokości 16 mln 932 tys. zł oraz udzielił upomnienia za naruszenie szeregu przepisów o ochronie danych osobowych. W tej samej sprawie Prezes UODO nałożył też kary na 24/7 Communication (podmiot przetwarzający) w łącznej kwocie 183 tys. zł.
Co doprowadziło do wycieku danych pracowników McDonald’s Polska
W komunikacie wskazano, że spółka McDonald’s Polska powierzyła przetwarzanie danych osobowych pracowników sieci restauracji zewnętrznej firmie w celu zarządzania grafikami pracy. Do ujawnienia danych osobowych doprowadził zdaniem UODO: brak analizy ryzyka tego procesu, wdrożenia odpowiednich zabezpieczeń oraz realizacji postanowień umowy powierzenia przetwarzania danych osobowych.
Jak czytamy, postępowanie wykazało, że spółka McDonald’s nie zweryfikowała podmiotu przetwarzającego pod kątem zdolności do zabezpieczenia danych – oparto się jedynie na wcześniejszej współpracy w zakresie PR. „Tym samym naruszono art. 28 ust. 1 RODO , który wymaga, by przetwarzanie w imieniu administratora odbywało się przez podmioty przetwarzające, zapewniające wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie chroniło prawa osób, których dane dotyczą” - wskazano.
