Dowodem dowód tożsamości. Glovo z karą 5,9 mln PLN od UOKiK

Z ustaleń kontroli UODO wynika, że platforma Glovo od lipca 2019 roku stosowała procedurę dodatkowej weryfikacji tożsamości, która budzi poważne zastrzeżenia prawne. Firma wymagała od użytkowników przesłania zdjęcia lub skanu dokumentu tożsamości (dowodu osobistego lub paszportu) w sytuacjach, które system lub kurier uznali za „podejrzane”.

Do przypadków tych należały m.in.:

zgłoszenie przez kuriera próby kradzieży zamówienia przez klienta,
podejrzenie użycia fałszywych znaków pieniężnych (gotówki),
niezgodność danych karty płatniczej z informacjami w profilu użytkownika,
podejrzenie kuriera, że w przesyłce mogą znajdować się nielegalne substancje.

Dlaczego 5,9 mln zł? Argumentacja Prezesa UODO

Decyzja o tak wysokiej karze (dokładnie 5 898 064 zł) wynika z charakteru i skali procederu. Prezes UODO, Mirosław Wróblewski, wskazał na naruszenie fundamentalnych zasad RODO: zgodności z prawem, rzetelności oraz minimalizacji danych. Do kluczowych punktów uzasadnienia werdyktu należy zaliczyć:

brak podstawy prawnej: Glovo nie należy do kategorii podmiotów (jak banki czy służby), które mają ustawowe prawo do kopiowania dokumentów tożsamości;
naruszenie zasady minimalizacji: skan dowodu to „kopalnia danych”. Firma pozyskiwała nadmiarowe informacje, takie jak: numer PESEL, imiona rodziców, miejsce urodzenia, wizerunek twarzy oraz seria i numer dokumentu. Do weryfikacji tożsamości przy dostawie pizzy te dane są absolutnie zbędne;
skala ryzyka: naruszenie dotyczyło potencjalnie 3,4 mln aktywnych użytkowników w Polsce, co przełożyło się na wysokość sankcji;
ryzyko kradzieży tożsamości: gromadzenie tak szerokiego zakresu danych przez prywatną firmę kurierską generuje realne ryzyko szkody niemajątkowej – lęku przed utratą kontroli nad danymi.

Czytaj także: Glovo i startupy, czyli symbioza – rozmowa z Shiro Theuri (CTO Glovo)

Obrona Glovo: „interes administratora” kontra RODO

Spółka Restaurant Partner Polska argumentowała, że działała w oparciu o art. 6 ust. 1 lit. f RODO, czyli tzw. prawnie uzasadniony interes administratora. Firma przekonywała, że weryfikacja była niezbędna do walki z oszustwami (procedury antyfraudowe), a same żądania dokumentów miały charakter wyjątkowy i rzadki. Organ nadzorczy kategorycznie odrzucił tę linię obrony, podkreślając, że walka z nadużyciami nie może odbywać się „na skróty” kosztem prywatności obywateli.

Poza dotkliwą karą finansową, na spółkę nałożono konkretne obowiązki operacyjne:

zaprzestanie praktyki: firma musi natychmiast przestać pozyskiwać skany i zdjęcia dokumentów tożsamości;
usunięcie danych: Wszystkie dotychczas zebrane kopie dokumentów muszą zostać trwale usunięte z baz danych w ciągu 30 dni od doręczenia decyzji.