Kara za wyciek danych użytkowników Panek. Firma odwoła się od wyroku

Jak przekazał Łukasz Gajek, zarząd Panek SA nie zgadza się z wyrokiem WSA w Warszawie z 22 maja tego roku.

Uważamy, że Sąd nie odniósł się do kilku istotnych elementów zarzuconych decyzji Prezesa UODO i skupił się na ogólnych rozważaniach na temat odpowiedzialności stron umowy powierzenia przetwarzania danych osobowych, bez dogłębnej analizy konkretnego stanu faktycznego. W związku z tym Zarząd Spółki podjął decyzję o skorzystaniu z przysługującego mu środka odwoławczego, tj. skargi kasacyjnej do Naczelnego Sądu Administracyjnego – wskazał przedstawiciel firmy.

W maju br. WSA w Warszawie oddalił skargę Panek S.A. na decyzję UODO z grudnia 2024 r. i uznał, że nałożenie kary odbyło się zgodnie z prawem.

Sprawa sięga 2020 roku, kiedy to podczas uruchamiania nowej witryny internetowej Panek nastąpiło ujawnienie folderu zawierającego pliki z danymi osobowymi pochodzącymi z poprzedniej wersji strony.

W rezultacie robot Google był w stanie indeksować pliki obejmujące dane osobowe, takie jak: imię, nazwisko, adres e-mail, adres zamieszkania, hasła dostępu do panelu klienta, numer telefonu i nr PESEL – wskazano. Naruszenie ochrony danych dotyczyło ponad 7 tys. osób.

W związku z wyciekiem w grudniu 2024 roku prezes UODO Mirosław Wróblewski nałożył na firmę Panek, jako administratora danych, karę w wys. 1 mln 527 tys. 855 zł, a na podmiot przetwarzający dane – karę 20 tys. 37 zł. Firma Panek zaskarżyła tę decyzję, zarzucając UODO naruszenie przepisów postępowania poprzez przyjęcie, że to spółka ponosi odpowiedzialność za incydent. Firma zarzuciła też Urzędowi m.in. błędne zastosowanie przepisów RODO oraz nieprawidłowe wyliczenie kary pieniężnej.

WSA nie zgodził się z tą argumentacją. W wydanym wyroku zaznaczył, że administrator danych, czyli Panek, nie zapewnił wystarczających środków techniczno-organizacyjnych do weryfikacji działań podmiotu przetwarzającego dane pod kątem bezpieczeństwa informacji. Sąd powołał się przy tym na przepisy, według których zarządzanie ryzykiem stanowi fundament działań związanych z ochroną danych osobowych, a odpowiada za nie administrator. Istotne w tym kontekście jest stałe monitorowanie poziomu zagrożeń, zapewnienie rozliczalności w zakresie zastosowanych zabezpieczeń oraz stałe tworzenie dokumentacji, która pomaga w rozpoznawaniu zagrożeń i ich klasyfikowaniu w przyszłości – podkreślił sąd.

Firma Panek S.A. została założona w 2000 roku w Lubinie na Dolnym Śląsku jako lokalna wypożyczalnia samochodów. W ciągu 25 lat spółka przekształciła się w jednego z ogólnopolskich i środkowoeuropejskich operatorów oferujących usługi wynajmu pojazdów na minuty, wynajmu krótkoterminowego oraz długoterminowego.

Obecnie Panek koncentruje się na wynajmie dobowym pojazdów, m.in. na lotniskach, we współpracy z sieciami dealerskimi czy w branży HoReCa. Spółka prowadzi swoją działalność także na rynkach międzynarodowych, m.in. w Austrii, na Litwie, Łotwie, w Niemczech i na Słowacji.