Do przypadków tych należały m.in.:
-
zgłoszenie przez kuriera próby kradzieży zamówienia przez klienta,
-
podejrzenie użycia fałszywych znaków pieniężnych (gotówki),
-
niezgodność danych karty płatniczej z informacjami w profilu użytkownika,
-
podejrzenie kuriera, że w przesyłce mogą znajdować się nielegalne substancje.
Dlaczego 5,9 mln zł? Argumentacja Prezesa UODO
Decyzja o tak wysokiej karze (dokładnie 5 898 064 zł) wynika z charakteru i skali procederu. Prezes UODO, Mirosław Wróblewski, wskazał na naruszenie fundamentalnych zasad RODO: zgodności z prawem, rzetelności oraz minimalizacji danych. Do kluczowych punktów uzasadnienia werdyktu należy zaliczyć:
-
brak podstawy prawnej: Glovo nie należy do kategorii podmiotów (jak banki czy służby), które mają ustawowe prawo do kopiowania dokumentów tożsamości;
-
naruszenie zasady minimalizacji: skan dowodu to „kopalnia danych”. Firma pozyskiwała nadmiarowe informacje, takie jak: numer PESEL, imiona rodziców, miejsce urodzenia, wizerunek twarzy oraz seria i numer dokumentu. Do weryfikacji tożsamości przy dostawie pizzy te dane są absolutnie zbędne;
-
skala ryzyka: naruszenie dotyczyło potencjalnie 3,4 mln aktywnych użytkowników w Polsce, co przełożyło się na wysokość sankcji;
-
ryzyko kradzieży tożsamości: gromadzenie tak szerokiego zakresu danych przez prywatną firmę kurierską generuje realne ryzyko szkody niemajątkowej – lęku przed utratą kontroli nad danymi.
Czytaj także: Glovo i startupy, czyli symbioza – rozmowa z Shiro Theuri (CTO Glovo)
Obrona Glovo: „interes administratora” kontra RODO
Spółka Restaurant Partner Polska argumentowała, że działała w oparciu o art. 6 ust. 1 lit. f RODO, czyli tzw. prawnie uzasadniony interes administratora. Firma przekonywała, że weryfikacja była niezbędna do walki z oszustwami (procedury antyfraudowe), a same żądania dokumentów miały charakter wyjątkowy i rzadki. Organ nadzorczy kategorycznie odrzucił tę linię obrony, podkreślając, że walka z nadużyciami nie może odbywać się „na skróty” kosztem prywatności obywateli.
Poza dotkliwą karą finansową, na spółkę nałożono konkretne obowiązki operacyjne:
- zaprzestanie praktyki: firma musi natychmiast przestać pozyskiwać skany i zdjęcia dokumentów tożsamości;
- usunięcie danych: Wszystkie dotychczas zebrane kopie dokumentów muszą zostać trwale usunięte z baz danych w ciągu 30 dni od doręczenia decyzji.
