Kary z RODO opublikowane we wrześniu i październiku 2026: bezpieczeństwo, podmioty przetwarzające i prawa osób
Siedem decyzji z RODO z Norwegii, Irlandii, Francji, Szwecji, Grecji i Włoch: słabe zabezpieczenia, brak umów powierzenia i zignorowane żądania.
Od początku września do połowy października 2026 r. Europejska Rada Ochrony Danych (EROD) przekazała informacje o serii kar z RODO nałożonych przez organy krajowe. Poza dużymi sprawami Ubera i Google opisanymi w Egzekwowanie RODO w 2026 r. wyróżniają się dwa tematy: słabe zabezpieczenia oraz zgody i żądania, których nie uszanowano.
Bezpieczeństwo i podmioty przetwarzające
- HSE, 645 000 euro, Irlandia (28 sierpnia 2026 r.). Intruzi dotarli do papierowej dokumentacji medycznej w dawnych szpitalach psychiatrycznych. Kary, upomnienie i nakazy.
- Hôpital Privé de la Loire, 500 000 euro, Francja (3 września 2026 r.). Atakujący dotarł do danych 524 867 pacjentów: brak uwierzytelniania wieloskładnikowego dla użytkowników zewnętrznych, dostęp nieograniczony do zespołu leczącego, brak wykrywania w czasie rzeczywistym, a 202 246 "osób zaufanych", których dane też wykradziono, nie poinformowano.
- Miljödata, 1,8 mln koron szwedzkich, Szwecja (22 września 2026 r.). Cyberatak na dostawcę IT dotknął 2,2 mln osób; brak odpowiednich kontroli przy instalacji nowego oprogramowania i brak monitorowania w czasie rzeczywistym.
- Greckie Ministerstwo Spójności Społecznej i Rodziny, 200 000 euro, oraz jego podmiot przetwarzający E.E.T.A.A., 150 000 euro (28 lipca 2026 r.). Przestarzałe systemy mimo znanych ryzyk i uchybienia wobec art. 28; oba podmioty muszą zawrzeć umowę powierzenia.
Zgoda i prawa osób
- Xandr, 92 mln koron norweskich (ok. 8,6 mln euro), Norwegia (2 października 2026 r.). Firma reklamowa przetwarzała w aukcjach czasu rzeczywistego dane użytkowników aplikacji randkowej dla osób gejowskich, biseksualnych, transpłciowych i queer bez ważnej podstawy prawnej. Opierała się na zgodzie zebranej przez aplikację, która była nieważna: każdy współadministrator musi sam sprawdzić zgodę. To najwyższa kara w historii norweskiego organu i jest prawomocna.
- EXTIA, 300 000 euro, Francja (21 lipca 2026 r.). Z 265 żądań usunięcia danych w 2024 r. 12 nigdy nie rozpatrzono, a 166 osób nigdy nie dowiedziało się o wyniku.
- BBVA, 5 508 000 euro, Włochy (3 lipca 2026 r.). Klient sprzeciwił się marketingowi w aplikacji banku, ale przez siedem miesięcy otrzymywał powiadomienia promocyjne z powodu błędu synchronizacji między systemami wewnętrznymi.
Co zrobić teraz
Sprawdźcie uwierzytelnianie wieloskładnikowe i monitorowanie systemów z danymi wrażliwymi, podpisaną umowę powierzenia z każdym dostawcą oraz to, czy żądanie lub sprzeciw trafia do systemu, który ma je wykonać.
Dazr Compliance trzyma w jednym miejscu kontrole bezpieczeństwa RODO, rejestr dostawców z linkami do umów powierzenia i terminami przeglądów, rejestr z art. 30 i rejestr naruszeń z zegarem 72 godzin, z przypomnieniami, gdy zbliża się przegląd.
Źródła
- Datatilsynet: Microsoft company fined NOK 92 million (updated 3 November 2026)
- EDPB: Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (16 October 2026)
- Data Protection Commission: Final decision following inquiry into the Health Service Executive (HSE)
- CNIL: Health data breach, EUR 500,000 fine against Hôpital Privé de la Loire
- IMY: Administrative fine against Miljödata
- EDPB: Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor (8 October 2026)
- CNIL: Failure to respect the rights of individuals, EUR 300,000 fine against EXTIA
- EDPB: News, national news from data protection authorities
- EDPB: Italian DPA fines BBVA EUR 5 508 000 for failing to respect a customer's objection to direct marketing (9 October 2026)
Wyłącznie w celach informacyjnych, nie stanowi porady prawnej. Ostatnia aktualizacja: 7 listopada 2026.
Dostępne także w języku: English, Nederlands, Italiano, Deutsch, Français, Español, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål