Polský úřad pro ochranu osobních údajů uzavřel případ, který se točí kolem jednoduché chyby s
velkými následky. V důsledku špatně nastaveného serveru se do veřejně přístupné složky dostaly
kopie databází se mzdovými a personálními údaji lidí pracujících v restauracích McDonald’s v
Polsku – včetně jmen, národních identifikátorů, čísel pasů, pracovních směn či počtu
odpracovaných hodin.
Vyšetřování ukázalo, že klíčovou roli hrál způsob, jakým firma zadala práci externímu dodavateli.
McDonald’s si najal společnost 24/7 Communication, která spravovala systém pro plánování
směn. Dodavatel měl plnou správu nad technickým řešením, McDonald’s naopak neměl k
infrastruktuře administrátorský přístup a v praxi se spoléhal na smluvní ujednání. Jenže ta zůstala
jen na papíře – pravidelné prověrky bezpečnosti neprobíhaly, rizika nikdo předem systematicky
nehodnotil a dodavatel dokonce zapojil další firmu bez řádně uzavřené smlouvy.
Úřad navíc upozornil, že v systému se shromažďovalo víc citlivých údajů, než bylo nutné. Jako
identifikátor se používal národní identifikátor nebo číslo pasu, ačkoliv šlo použít interní kódy či
jiná, méně citlivá označení. Právě práce s citlivými identifikátory výrazně zvýšila dopady
samotného úniku dat.
Podobně problematické bylo i to, že centrální systém pro plánování směn obsluhoval nejen vlastní
restaurace, ale i franšízové provozovny. Jelikož o podobě a fungování nástroje rozhodoval
McDonald’s, nese odpovědnost i za data zaměstnanců franšízantů.
Výsledkem je vysoká pokuta pro McDonald’s Polska ve výši 4,02 milionu eur, a menší sankce pro
zpracovatele 24/7 Communication ve výši 43,7 tisíce eur. Z rozhodnutí je patrné, že správci
osobních údajů by měli umět své dodavatele předem ověřit, nastavit reálné kontrolní mechanismy
a pravidelně testovat, zda technické a organizační postupy skutečně fungují. Dodavatelé naopak
nemohou chápat bezpečnost jako volitelný doplněk – i bez explicitních požadavků v uzavřené
smlouvě se správcem se od nich očekává ochrana přiměřená povaze zpracovávaných dat.