Prezes UODO w grudniu 2024 r. nałożył na pewien Bank ponad 576 000 zł kary za trzy naruszenia. Pierwsze z nich dotyczyło naruszenia przepisów RODO dotyczących niezależności Inspektora Ochrony Danych. Drugie naruszenie dotyczyło błędnego prowadzenia rejestru czynności przetwarzania, a trzecie na nie wykonaniu oceny skutków dla ochrony danych osobowych. Skupię się na naruszeniu związanym z rejestrem czynności, gdyż wydaje mi się ono istotne. Według Prezesa UODO Bank: naruszenie przez C. S.A. przepisu art. 30 ust. 1 rozporządzenia 2016/679 wynika ze stwierdzonego w toku kontroli i postępowania faktu, że C. S.A. prowadzi, co prawda, ww. rejestr, jednak nie uwzględnia on w opisie procesów (czynności) przetwarzania danych związanych z ich profilowaniem. Fakt ten potwierdził C. S.A. w wyjaśnieniach udzielonych w toku kontroli, wskazując, że w rejestrze czynności przetwarzania ewidencjonuje produkty, a nie czynności, czy procesy na danych osobowych, zaś profilowanie jest elementem udzielania produktu kredytowego, uwzględnionego w rejestrze czynności przetwarzania. Podobne wyjaśnienia C. S.A. złożył w treści pisma z 4 sierpnia 2023 r., skierowanego po kontroli do Prezesa UODO; profilowanie, określone w art. 4 pkt 4 rozporządzenia 2016/679, jest specyficzną formą zautomatyzowanego przetwarzania danych, w rezultacie którego dane osobowe – w przypadku C. S.A. – zostają wykorzystane do oceny sytuacji ekonomicznej osób fizycznych, tj. jego klientów. Należy zauważyć, że rejestr czynności przetwarzania jest dokumentem, który w przejrzysty, konkretny i wyczerpujący sposób ma opisywać procesy przetwarzania danych zachodzące u administratora. Brak ww. cech rejestru czynności przetwarzania czyni go nieefektywnym, a nawet bezużytecznym, zważywszy na fakt, że jego treść ma służyć między innymi organowi nadzorczemu, w razie jego kontroli, do niepozostawiającego wątpliwości pozyskania informacji w zakresie procesów przetwarzania faktycznie zachodzących u kontrolowanego administratora; C. S.A. powinien był w prowadzonym przez niego rejestrze czynności przetwarzania uwzględnić również profilowanie jako specyficzną formę i zarazem istotny etap przetwarzania danych klientów w szeroko rozumianym procesie udzielania im kredytów. Opis czynności przetwarzania związanej z profilowaniem powinien być uwzględniony w rejestrze czynności przetwarzania ze względu […]