Znana firma kurierska zapłaci potężną karę. Wykryto poważne nieprawidłowości
Śledztwo wykazało, że DPD naruszyło zasady przetwarzania danych osobowych. Za te oraz inne nieprawidłowości firma musi więc zapłacić gigantyczną karę.
DPD naruszyło przepisy RODO
Urząd Ochrony Danych Osobowych (UODO) poinformował, że firma kurierska DPD naruszyła przepisy RODO. Jak przekazała bowiem organizacja, wśród błędów wykryto m.in. nieprawidłowości w zakresie nadawania upoważnień do przetwarzania danych.
Co to RODO? RODO to Rozporządzenia o Ochronie Danych Osobowych (oficjalnie: Ogólne rozporządzenie o ochronie danych). Jest to jednolite unijne prawo, którego nadrzędnym celem jest ochrona prywatności oraz bezpieczeństwa. Rozporządzenie to nakłada na wszystkie firmy, sklepy internetowe i urzędy surowe obowiązki.
Prezes UODO nałożył na firmę kurierską administracyjną karę pieniężną za naruszenia RODO.
— Urząd Ochrony Danych Osobowych (@UODOgov_pl) February 23, 2026
Stwierdzono m․in․ brak umów powierzenia z zewnętrznymi przewoźnikami oraz nieprawidłowości w zakresie nadawania upoważnień do przetwarzania danych.https://t.co/LdKOsn4bHz
Jakie dane trafiły do DPD?
Podczas śledztwa UODO wykryło, że w procesie doręczania przesyłek firma DPD przetwarzała następujące dane:
- imiona,
- nazwiska,
- adres poczty elektronicznej,
- numery telefonu,
- adresy (nadania, doręczenia, przekierowania przesyłki),
- numery konta bankowego (w przypadku usługi doręczenia za pobraniem),
- nazwy firm,
- numer przesyłki oraz
- podpis własnoręczny nadawcy i adresata.
W placówce nie było jednak wyznaczonej osoby, uprawnionej do nadawania upoważnień do przetwarzania danych osobowych. Stanowiło to poważne naruszenie postanowień obowiązującej w spółce polityki ochrony danych i zasad poufności oraz rozliczalności.
DPD zapłaci miliony
W wyniku naruszeń spółka będzie musiała zapłacić ponad 11 milionów złotych kary. Jest to suma dwóch kar – naruszenia RODO oraz nieprawidłowości organizacyjne. Za niedopilnowanie bezpieczeństwa danych osobowych DPD otrzymało karę w wysokości 6 251 mln zł. Z kolei za drugie przestępstwo UODO nałożyło karę o wartości 5 209 mln zł.
Dostęp do danych był „automatyczny”
Jak przekazał UODO, nowi pracownicy DPD „automatycznie” otrzymywali dostęp do baz danych osobowych. System informatyczny udzielał takich informacji bowiem wszystkim, którzy zaliczyli test po obyciu szkolenia na platformie edukacyjnej.
System generował także dla pracowników firmy kurierskiej upoważnienia do przetwarzania danych. Nie zawierały jednak one kluczowych elementów, takich jak:
- imię i nazwisko pracownika oraz
- podpis osoby udzielającej upoważnienia.
UODO orzekł, że takiego pliku o niejasnej treści nie można zakwalifikować jako upoważnienia do przetwarzania danych. Stanowiło to więc naruszenie art. 32 ust. 4 i art. 29 RODO.
