W marcu 2022 r. Prezes Urzędu Ochrony Danych Osobowych wydał decyzję umarzająca postępowanie w sprawie dotyczącej zgłoszenia, w lipcu 2021 r., naruszenia ochrony danych osobowych. Naruszenie to polegało na nieautoryzowanym dostępie do systemu informatycznego spółki, która przesłała przedmiotowe zawiadomienie. Prezes UODO wskazując na swoje uprawnienie uzyskania od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań, wynikające z art. 58 ust. 1 lit. e RODO zwrócił się do spółki o: „Proszę o przekazanie informacji, czy, a jeśli tak, to z jakimi kategoriami danych i kogo dotyczącymi osoba nieuprawniona mogła się zapoznać, skoro uzyskała dostęp do »listy naszych klientów« i »listy zamówień«, o których mowa w załączniku nr 4 do pisma administratora z dnia […] września 2021 r. Spółka odpowiedziała, że: W zakresie »listy naszych klientów« mogło dojść do zapoznania się z informacjami, które nie zawierały w swej treści danych osobowych, ponieważ stanowiły jedynie dane podmiotów będących osobami prawnymi – klientami Spółki […]. Odnosząc się natomiast do »listy zamówień« – mogło dojść do zapoznania się z danymi Klientów, czyli klientów administratorów powierzających Spółce dane osobowe należące do osób fizycznych będących ich klientami końcowymi. W stosunku do tych danych Spółka nie działa jako administrator, lecz jako podmiot przetwarzający, co pozostaje poza zakresem złożonego zawiadomienia, a wskazanie kategorii danych wymagałoby potwierdzenia możliwości ich przekazania przez Spółkę z Klientami oraz wskazała, że nie ujawni listy administratorów dla których pełni rolę podmiotu przetwarzającego, gdyż: W odpowiedzi na żądanie przedstawienia listy administratorów danych, dla których Spółka jest podmiotem przetwarzającym, Spółka wskazała m. in., że obowiązek ten [obowiązek zachowania poufności] dotyczy zazwyczaj wszelkich otrzymanych od Administratorów danych, w tym danych o samym zawarciu umów na podstawie których odbywa się współpraca jak i danych o tym, że kontrahent korzysta z usług Spółki. Spółka pragnąc wywiązać się z obowiązku zachowania poufności, w celu uniknięcia negatywnych sankcji, nie tylko prawnych i finansowych, ale także wizerunkowych nie ma możliwości udostępnienia tych danych bez uzyskania uprzedniej […]