McDonald's Polska e 24/7 Communication: dati di dipendenti esposti
- Paese
- Polonia
- Autorità
- UODO
- Settore
- Commercio al dettaglio
- Notizia dell'EDPB
- 25 settembre 2025
- Misure decise
-
- Sanzione pecuniaria
Sintesi della decisione
L'autorità polacca di protezione dei dati ha sanzionato McDonald's Polska e il suo responsabile del trattamento 24/7 Communication dopo una violazione che ha reso visibili dati personali di dipendenti e franchisee, tra cui nomi, numeri di identificazione e orari di lavoro, a causa di una configurazione errata di un server. Le contestazioni riguardano la mancata analisi del rischio e l'assenza di misure tecniche e organizzative adeguate (artt. 24, 25 e 32 GDPR), la mancata vigilanza sul responsabile e la carenza di un contratto di sub-responsabilità (art. 28 GDPR), e il mancato coinvolgimento del DPO (art. 38 GDPR). Sono state irrogate sanzioni amministrative pecuniarie di importo differenziato per i due soggetti.
Il DPO deve essere coinvolto nelle scelte sui fornitori e sulle configurazioni dei sistemi, e la sicurezza va verificata periodicamente, non solo al momento della firma del contratto con il responsabile.
Articoli del GDPR violati
- art. 5 GDPR Principi applicabili al trattamento di dati personali
- art. 24 GDPR Responsabilità del titolare del trattamento
- art. 25 GDPR Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita
- art. 28 GDPR Responsabile del trattamento
- art. 32 GDPR Sicurezza del trattamento
- art. 34 GDPR Comunicazione di una violazione dei dati personali all'interessato
- art. 38 GDPR ↗ Posizione del responsabile della protezione dei dati
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- SanzioneNIER Ingegneria S.p.a. Società Benefit
Anche in questo caso la violazione riguarda misure di sicurezza inadeguate e un incidente informatico che ha esposto dati personali.
- SanzioneAzienda USL Modena
Entrambi i casi ruotano attorno alla sicurezza dei dati e alla prevenzione e rilevazione delle violazioni.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Polish SA: administrative fine of EUR 4 022 773 for McDonald’s Polska sp. z o.o. and EUR 43 680 for 24/7 Communication Sp. z o.o. for negligence in risk analysis and safeguards”, in inglese
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.