Cyfrowy Polsat miał często zgłaszać do UODO naruszenia w rodzaju zgubionej korespondencji z danymi osobowymi czy dostarczenia takiej przesyłki do niewłaściwego odbiorcy. Z analizy urzędu wynika, że spółka zgłaszała naruszenia po upływie dwóch albo nawet trzech miesięcy od ich wystąpienia. W toku postępowania urząd ustalił, że Cyfrowy Polsat zgłaszał naruszenia, gdy tylko otrzymywał o nich informację od firmy kurierskiej, z którą miał podpisaną umowę.
Zdaniem UODO jednak, to na Cyfrowym Polsacie jako administratorze danych ciąży odpowiedzialność za podjęcie skutecznych działań, które zminimalizują skalę naruszeń i pozwolą na szybsze identyfikowanie incydentów oraz informowanie o nich osób, których dotyczy dane zdarzenie, oraz organu nadzorczego.
Według UODO spółka nie wdrożyła odpowiednich środków organizacyjnych i technicznych, które pozwoliłyby na szybką identyfikację naruszeń. Osoby, których dane dotyczyły, przez długi czas mogły nie wiedzieć o ryzyku ich wykorzystania przez osoby nieuprawnione, nie mogły też podjąć działań, które ograniczyłyby niebezpieczeństwo np. kradzieży ich tożsamości. W zgubionej bądź dostarczonej niewłaściwemu adresatowi korespondencji znajdowało się wiele ich danych w tym dane ID kontraktu, numer umowy czy numery faktur.
UODO zaznacza, że dopiero w toku postępowania spółka wdrożyła mechanizmy, pozwalające na ograniczenie wydawania korespondencji nieuprawnionej osobie, czy rozwiązania pozwalające śledzić przesyłki.
Prezes UODO nałożył na Cyfrowy Polsat karę za naruszenia przepisów Rozporządzenia o Ochronie Danych Osobowych (RODO) w wysokości ponad 1,13 mln zł.
