W związku ze zbliżającym się końcem roku będziemy świadkami zwiększonej liczby decyzji administracyjnych Prezesa UODO, w których nakłada on administracyjne kary pieniężne ze względu na termin przedawnienia. Wynosi on pięć lat od od dnia naruszenia prawa albo wystąpienia skutków naruszenia prawa (art. 189g kpa). I tak było w tej sprawie – administrator dokonał zgłoszenie naruszenia ochrony danych osobowych Prezesowi UODO 3 grudnia 2019 r. Po prawie 5 latach Prezes UODO wydał decyzję, w której: I. stwierdzając naruszenie przez Pana AB, prowadzącego działalność gospodarczą pod firmą X, ul. (…), przepisów: a) art. 24 ust. 1, art. 25 ust. 1 i art. 32 ust. 1 i 2 rozporządzenia 2016/679, polegające na: – niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych osobowych w systemach informatycznych oraz ochronę praw osób, których dane dotyczą, na podstawie przeprowadzonej analizy ryzyka uwzględniającej stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych, – niewdrożeniu odpowiednich środków technicznych i organizacyjnych w celu zapewnienia regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania danych osobowych w systemach informatycznych, w szczególności w zakresie podatności, błędów oraz ich możliwych skutków dla tych systemów oraz podjętych działań minimalizujących ryzyko ich wystąpienia, – niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających zdolność do szybkiego przywrócenia dostępności danych osobowych przetwarzanych w systemach informatycznych i dostępu do nich w razie incydentu fizycznego lub technicznego, skutkujące naruszeniem zasady poufności (art. 5 ust. 1 lit. f) rozporządzenia 2016/679) oraz zasady rozliczalności (art. 5 ust. 2 rozporządzenia 2016/679), b) art. 28 ust. 1 rozporządzenia 2016/679, polegające na braku weryfikacji podmiotu przetwarzającego, czy zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi rozporządzenia 2016/679 i chroniło prawa osób, których dane dotyczą, c) art. 34 ust. 2 w związku z art. 33 ust. 3 lit. […]