Prezes UODO nałożył ponad 11 mln zł kar administracyjnych na DPD Polska. Jak twierdzi urząd, spółka korzystała z niektórych usług transportowych zewnętrznych przewoźników bez uprzedniego zawarcia z nimi umów powierzenia przetwarzania danych osobowych. Nie zapewniła również, żeby ich przetwarzanie odbywało się wyłącznie na polecenie administratora.

Według UODO niewyznaczenie osoby uprawnionej do nadawania upoważnień do przetwarzania danych osobowych naruszało postanowienia polityki ochrony danych i zasad poufności oraz rozliczalności, obowiązujące w spółce

Decyzję poprzedziła kontrola w siedzibie spółki i postępowanie prowadzone przez UODO.

DPD argumentowało, że nie było to potrzebne zawarcie z przewoźnikami umów powierzenia przetwarzania danych, ponieważ przedmiotem umowy była czynność przewozu. Zdaniem spółki nie łączyła się ona z przetwarzaniem przez przewoźników zewnętrznych (tzw. LNH) danych osobowych. Prezes UODO nie podzielił jednak tego poglądu. Uznał, że nie zawierając z ww. przewoźnikami umów powierzenia przetwarzania, DPD Polska naruszyło art. 28 ust. 3 RODO (Podmiot przetwarzający).
Stwierdzono też naruszenie art. 32 ust. 4 RODO (Bezpieczeństwo przetwarzania)
i art. 29 RODO (Przetwarzanie z upoważnienia administratora).

UODO: poważne naruszenie RODO

Prezes UODO stwierdził, że doszło do poważnego naruszenia przepisów RODO. Twierdzi, iż zewnętrzni przewoźnicy brali udział w przetwarzaniu danych osobowych w trakcie przewozu przesyłek oraz w momencie ich załadunku i rozładunku. Jednak w związku z tymi. czynnościami nie zawarto z nimi umów powierzenia przetwarzania danych osobowych

Za naruszenie przepisów RODO, polegające na niezawarciu umowy powierzenia przetwarzania danych osobowych, Prezes UODO nałożył karę na administratora w kwocie 6,251 mln zł. Za drugie naruszenie, tj. niewdrożenie środków organizacyjnych służących zapewnieniu odpowiedniego bezpieczeństwa danych, kara wyniosła 5,209 mln zł.

DPD Polska według PAP obecnie analizuje otrzymaną decyzję UODO. Firma zamierza wykazać, że jej rozwiązania i procedury spełniają wszystkie normy bezpieczeństwa ochrony danych osobowych.

To najwyższa w tym roku kara. W 2025 roku Urząd Ochrony Danych Osobowych nałożył natomiast 32 kary pieniężne o łącznej wartości 64,5 mln zł na firmy i instytucje.