Sprawa naruszenia ochrony danych przez Fortum i podmiot przetwarzający trafi do ponownego rozpoznania

12/03/2026

Nsa, Puodo, Kara Za Naruszenie Rodo, Podmiot Przetwarzający, Niewłaściwe Zabezpieczenie Danych,

Naczelny Sąd Administracyjny uwzględnił skargę kasacyjną Prezesa UODO i uchylił wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie. Sprawa dotyczy naruszenia ochrony danych osobowych ponad 95 tysięcy klientów spółki Fortum Marketing and Sales S.A. oraz odpowiedzialności podmiotu przetwarzającego – Pika Sp. z o.o.

Sprawa naruszenia ochrony danych przez Fortum i podmiot przetwarzający trafi do ponownego rozpoznania

Błędna konfiguracja bazy danych przez podmiot przetwarzający ujawniła dane 95 tysięcy klientów Fortum

W 2020 roku systemu spółka Pika, pełniąca rolę podmiotu przetwarzającego, podjęła prace modernizacyjne. Utworzyła dodatkową bazę danych zasiloną danymi klientów Fortum, ale skonfigurowała ją nieprawidłowo. W efekcie osoby nieuprawnione uzyskały dostęp do danych osobowych, takich jak imiona i nazwiska, numery PESEL, adresy zamieszkania, dane dokumentów tożsamości oraz informacje o zawartych umowach. Naruszenie ochrony danych osobowych dotyczyło ponad 95 tysięcy osób fizycznych. Administrator początkowo nie zgłosił incydentu, uznając, że nie wiąże się on z wysokim ryzykiem.

5 mln zł kary dla Fortum i ponad 250 tys. zł dla podmiotu przetwarzającego Pika

Prezes UODO ustalił, że Fortum jako administrator danych nie zweryfikował przed zawarciem umowy powierzenia, czy Pika zapewnia wystarczające gwarancje bezpieczeństwa, i nie sprawował realnego nadzoru nad pracami w systemie. Z kolei spółka Pika wykorzystywała rzeczywiste dane do celów testowych bez pseudonimizacji, nie testowała zabezpieczeń i przeprowadziła niekompletną konfigurację techniczną. Na tej podstawie PUODO nałożył na Fortum karę blisko 5 milionów złotych, a na spółkę Pika – ponad 250 tysięcy złotych. WSA uchylił tę decyzję, uznając ustalenia za niewystarczające. Sprawa ostatecznie trafiła przed NSA, który potwierdził kompletność materiału dowodowego i przekazał sprawę do ponownego rozpoznania.

Źródło: https://uodo.gov.pl/pl/138/4088

Masz pytania?

Jeśli masz więcej pytań dotyczących RODO i sztucznej inteligencji- więcej informacji znajdziesz w naszym serwisie. Przejrzyj nasze zasoby!

Jeżeli chcesz być na bieżąco z tematyką RODO, prawa nowych technologii i AI obserwuj nas!

Facebook https://www.facebook.com/odoserwis.pl.2016/

Linkedin https://www.linkedin.com/company/odoserwis-pl/

Wydawcą odoserwis.pl jest firma JDS Consulting świadcząca usługi outsourcingu Inspektora ochrony danych, doradztwa i audytu RODO; www.jds.com.pl

Jeżeli chciałbyś skorzystać z opinii lub porady prawnej nie wahaj się skontaktować z nami office@jds.com.pl ; www.jds.com.pl

Nsa, Puodo, Kara Za Naruszenie Rodo, Podmiot Przetwarzający, Niewłaściwe Zabezpieczenie Danych,

Zobacz również

Naruszenie ochrony danych

PUODO nałożył karę za „aferę hejterską". Minister Sprawiedliwości ma zapłacić 100 tysięcy złotych

Prezes UODO Mirosław Wróblewski nałożył administracyjną karę pieniężną 100 tysięcy złotych na Ministra Sprawiedliwości. Decyzja dotyczy tzw. afery hejterskiej z 2019 roku. Dane osobowe sędziów zostały wówczas bezprawnie pozyskane i wykorzystane do celów politycznych.

Naruszenie ochrony danych

WSA potwierdza decyzję PUODO w sprawie wysokich kar dla spółek Fortum i Pika

Wojewódzki Sąd Administracyjny w Warszawie po raz kolejny rozpatrzył sprawę spółek Fortum Energia S.A. i Pika Sp. z o.o. W wyroku z 20 maja 2026 r. potwierdził, że PUODO słusznie nałożył kary na obie spółki.

Naruszenie ochrony danych

Burmistrz Myślenic ukarany przez PUODO za opublikowanie danych osobowych w BIP

Burmistrza Miasta i Gminy Myślenice zapłaci karę za naruszenie przepisów RODO. Chodzi o publikację niezanonimizowanej petycji w Biuletynie Informacji Publicznej oraz brak zgłoszenia naruszenia ochrony danych osobowych.