Sieć restauracji: plik z grafikami i numerami PESEL pracowników dostępny w publicznym katalogu serwera

Prezes UODO, sygn. DKN.5130.4179.2020. Decyzja z 23 czerwca 2025 r. W przeglądzie od 11 listopada 2026 r., aktualizacja: 11 listopada 2026 r.

Podmiot: McDonald’s Polska Sp. z o.o.
Branża: Pracodawca i kadry
Rodzaj: Publikacja w sieci
Status: Decyzja nieprawomocna (sprawdzony 11 listopada 2026 r.)

Co się stało

Podmiot przetwarzający, który obsługiwał moduł grafików pracy McDonald’s Polska, źle skonfigurował serwer, przez co każdy mógł przeglądać katalogi i pobrać niezabezpieczony plik z kopią bazy danych. W pliku były imiona, nazwiska, numery PESEL lub paszportów oraz dane o czasie pracy pracowników sieci i franczyzobiorców. Ani administrator, ani podmiot przetwarzający nie przeprowadzili analizy ryzyka. Prezes UODO nałożył kary 16 932 657 zł na McDonald’s Polska i 183 858 zł na 24/7 Communication, a za zawiadomienie byłych pracowników przez komunikaty prasowe zamiast bezpośrednio udzielił upomnienia.

Skala

Dane: imiona i nazwiska, numery PESEL, numery paszportów, godziny pracy i stanowiska

Rozstrzygnięcie

Kara pieniężna 16 932 657 zł: McDonald’s Polska (1 632 063 zł, 13 600 528 zł, 1 700 066 zł)
Upomnienie: McDonald’s Polska: brak bezpośredniego zawiadomienia byłych pracowników
Kara pieniężna 183 858 zł: 24/7 Communication, podmiot przetwarzający (94 286 zł, 42 429 zł, 47 143 zł)

Status decyzji

Decyzja nieprawomocna, stan sprawdzony 11 listopada 2026 r. Portal orzeczeń UODO: decyzja częściowo prawomocna (od 7.08.2025).

Czego według organu zabrakło

Analiza ryzyka u administratora i podmiotu przetwarzającego
Weryfikacja podmiotu przetwarzającego i nadzór nad nim (audyty z umowy powierzenia nie były realizowane)
Umowa dalszego powierzenia z podwykonawcą
Udział inspektora ochrony danych
Minimalizacja danych: PESEL i numery paszportów jako identyfikator pracownika
Bezpośrednie zawiadomienie byłych pracowników

Źródła

UODO: kary dla McDonald’s Polska i 24/7 Communication (DKN.5130.4179.2020) (źródło pierwotne), stan na 11 listopada 2026 r.
UODO: decyzja DKN.5130.4179.2020 (źródło pierwotne), stan na 11 listopada 2026 r.

Więcej

Powiadomienia o nowych sprawach

Raz w tygodniu, tylko gdy w przeglądzie pojawią się nowe sprawy: tytuł, jedno zdanie i link. Wypisanie jednym kliknięciem w każdym mailu.

Opis zawiera fakty ze źródeł wymienionych wyżej, bez ocen. Błąd w opisie albo zmiana statusu decyzji: napisz na kontakt@wyslijbezpiecznie.pl, poprawimy opis i datę aktualizacji. Przegląd ma charakter informacyjny i nie jest poradą prawną.