TL;DR
Decyzją z 28 lipca 2026 r., opublikowaną przez EROD 8 października, grecki organ ochrony danych nałożył 200 000 euro na Ministerstwo Spójności Społecznej i Rodziny (administrator) i 150 000 euro na E.E.T.A.A. S.A., agencję rozwoju lokalnego obsługującą jego systemy (podmiot przetwarzający). Ministerstwo prawidłowo zgłosiło naruszenie i zawiadomiło osoby; kara dotyczy bezpieczeństwa i relacji z podmiotem przetwarzającym. Artykuły: 25, 28, 32, 33 i 34 RODO.
Co się stało
Zakrojony na szeroką skalę cyberatak dotknął systemy E.E.T.A.A., używane do realizacji programów ministerstwa. Bazy zawierały dane bardzo wielu osób: identyfikacyjne i kontaktowe, finansowe oraz o zdrowiu.
Co ustalił organ
- PRAWIDŁOWE ZGŁOSZENIE. Ministerstwo jako administrator wypełniło obowiązki zgłoszenia organowi i zawiadomienia osób (art. 33 i 34).
- PRZESTARZAŁE SYSTEMY. Atak się powiódł, bo E.E.T.A.A. nadal używała przestarzałych systemów i niewystarczających zabezpieczeń, mimo świadomości ryzyka (art. 32).
- NIEUREGULOWANA RELACJA. Uchybienia wobec art. 28: relacja administratora z podmiotem przetwarzającym nie była uregulowana zgodnie z RODO.
- KARY DLA OBU. 200 000 euro dla ministerstwa i 150 000 dla E.E.T.A.A., z nakazem zawarcia umowy z art. 28 i wdrożenia zaplanowanych zabezpieczeń.
Dobre zgłoszenie nie ratuje administratora
Obsługa naruszenia była prawidłowa, a mimo to administrator płaci. Przyczyna leży wcześniej: art. 28 wymaga korzystania wyłącznie z podmiotów dających wystarczające gwarancje i uregulowania relacji na piśmie. Dostawca z przestarzałymi systemami, niezwiązany umową, to ryzyko administratora, zanim stanie się ryzykiem dostawcy.
Co to oznacza dla IOD
Cztery kontrole
Po pierwsze: dla każdego dostawcy przetwarzającego dane w imieniu klienta podpisana umowa z art. 28, także gdy dostawcą jest podmiot publiczny lub spółka państwowa. Po drugie: w umowie minimalne zabezpieczenia i prawo do ich weryfikacji, w tym aktualizacji systemów. Po trzecie: udokumentowany okresowy przegląd dostawców przetwarzających dane o zdrowiu lub finansowe. Po czwarte: jeśli dostawca zna ryzyko i go nie usuwa, administrator musi o tym wiedzieć i zdecydować — to moment na pisemną opinię IOD.
Sprawa jest przydatna jeszcze z jednego powodu: pokazuje, że organy karzą bezpośrednio podmiot przetwarzający, gdy przyczyna naruszenia leży po jego stronie. Podmiot przetwarzający nie jest „osłonięty” przez administratora: ma własne obowiązki bezpieczeństwa i za nie odpowiada.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
