Wyobraź sobie, że zamawiasz kolację przez aplikację. Nagle, zamiast ciepłego posiłku, otrzymujesz prośbę o przesłanie zdjęcia swojego dowodu osobistego. Dla wielu użytkowników platformy Glovo był to moment konsternacji, a dla Prezesa Urzędu Ochrony Danych Osobowych (UODO) – jasny sygnał do działania. Finał tej sprawy jest bezprecedensowy: na spółkę Restaurant Partner Polska nałożono administracyjną karę pieniężną w wysokości 5 898 064 zł.
Decyzja ta nie jest tylko „kolejnym mandatem” dla wielkiej korporacji. To fundamentalna lekcja na temat tego, gdzie kończy się prawo firmy do ochrony własnego interesu, a zaczyna nienaruszalna prywatność obywatela.
Spis treści
Kontrola, która obnażyła systemowe naruszenia
Wszystko zaczęło się od wnikliwej kontroli przeprowadzonej przez Prezesa UODO, Mirosława Wróblewskiego. Urząd poddał analizie procesy przetwarzania danych w aplikacji „Glovo – dostawa jedzenie i inne”. Pod lupę wzięto nie tylko to, jakie dane są zbierane, ale przede wszystkim – na jakiej podstawie prawnej się to odbywa.
Jak ustalono w toku postępowania, Glovo wypracowało procedurę „dodatkowej weryfikacji”, która aktywowała się w sytuacjach podejrzenia oszustwa. Choć brzmi to jak dbałość o bezpieczeństwo, diabeł tkwił w szczegółach. Od użytkowników żądano pełnych skanów lub zdjęć dokumentów tożsamości w sytuacjach takich jak:
- zgłoszenie przez kuriera próby kradzieży zamówienia przez klienta,
- użycie rzekomo fałszywych banknotów,
- niezgodność danych karty płatniczej z profilem w aplikacji,
- podejrzenie, że w przesyłce znajdują się substancje niedozwolone.
Z perspektywy eksperckiej, takie podejście przerzuca ciężar dowodzenia niewinności na klienta w sposób całkowicie nieproporcjonalny do świadczonej usługi.
Pułapka „prawnie uzasadnionego interesu”
Główną linią obrony Restaurant Partner Polska było powołanie się na art. 6 ust. 1 lit. f RODO. Spółka argumentowała, że ma „prawnie uzasadniony interes” polegający na weryfikacji tożsamości osób podejrzanych o nadużycia. Twierdzono, że proces był poprzedzony tzw. testem równowagi oraz oceną skutków dla ochrony danych (DPIA).
Prezes UODO nie zostawił na tej argumentacji suchej nitki. Organ podkreślił, że choć walka z oszustwami jest uzasadniona, nie może ona stanowić „blankietowego upoważnienia” do gromadzenia nadmiarowych danych. Aby móc legalnie kopiować dokumenty tożsamości, podmiot musi mieć do tego wyraźną podstawę ustawową.
W polskim porządku prawnym takie uprawnienia mają np. instytucje finansowe w ramach ustawy o przeciwdziałaniu praniu pieniędzy (AML). Glovo, będąc platformą pośredniczącą w dostawach posiłków, nie należy do tej kategorii. Co więcej, ustawa o świadczeniu usług drogą elektroniczną również nie przewiduje zbierania skanów dowodów do realizacji umowy dostawy pizzy czy zakupów spożywczych.
Zasada minimalizacji danych
Kluczowym uchybieniem, które wpłynęło na wysokość kary, było drastyczne naruszenie zasady minimalizacji danych (art. 5 ust. 1 lit. c RODO). Zasada ta mówi, że zbierane dane muszą być adekwatne i ograniczone do absolutnego minimum niezbędnego do osiągnięcia celu.
Tymczasem skan dowodu osobistego to prawdziwa kopalnia wiedzy. Przekazując go firmie, użytkownik udostępniał:
- numer PESEL i wizerunek twarzy,
- imiona rodziców i nazwisko rodowe,
- miejsce urodzenia, adres zamieszkania oraz serię i numer dokumentu.
Z punktu widzenia weryfikacji, czy klient zapłacił za burgera, większość tych informacji jest całkowicie zbędna. Prezes UODO zwrócił również uwagę na ustawę o dokumentach publicznych. Dowód osobisty i paszport to dokumenty pierwszej kategorii, podlegające szczególnej ochronie. Działania Glovo, polegające na ich masowym utrwalaniu, uderzały więc w fundamenty bezpieczeństwa państwowych dokumentów tożsamości.
Skala problemu: 3,4 miliona użytkowników w ryzyku
Wymiar kary – blisko 6 milionów złotych – nie jest przypadkowy. Organ nadzorczy wziął pod uwagę czas trwania naruszenia (od lipca 2019 roku) oraz ogromną skalę operacji. Baza aktywnych użytkowników Glovo w Polsce to ponad 3,4 miliona osób.
Choć prośby o skany były wysyłane „wyjątkowo”, sama obecność takiej procedury w systemie tak dużej firmy generowała rzeczywiste ryzyko szkody niemajątkowej. Użytkownicy mogli odczuwać uzasadniony lęk przed kradzieżą tożsamości (tzw. identity theft). W dobie rosnącej liczby wyłudzeń kredytów na skradzione dane, obawa ta jest w pełni zrozumiała i rzutuje na ocenę wagi naruszenia.
Co decyzja UODO oznacza dla klientów i firm?
Decyzja ma rygor natychmiastowego wykonania w zakresie ochrony danych. Spółka Restaurant Partner Polska została zobligowana do:
- Zaprzestania pozyskiwania skanów i zdjęć dokumentów tożsamości.
- Usunięcia wszystkich zgromadzonych do tej pory plików tego typu w ciągu 30 dni.
Dla innych firm z branży e-commerce i food-tech jest to jasny sygnał: procedury antyfraudowe nie mogą stać ponad RODO. Jeśli Twoja firma rozważa wprowadzenie weryfikacji tożsamości opartej na dokumentach, musisz znaleźć inne, mniej inwazyjne metody. Wykorzystanie systemów bankowości elektronicznej, kodów SMS czy weryfikacji płatności jest znacznie bezpieczniejsze prawnie niż gromadzenie wizerunków dowodów.
Podsumowanie
Sprawa Glovo pokazuje, że polski organ nadzorczy potrafi nakładać dotkliwe kary na gigantów technologicznych, gdy w grę wchodzą podstawowe zasady ochrony prywatności. Naruszenie zasad zgodności z prawem, rzetelności oraz minimalizacji danych to błędy, za które płaci się najwyższą cenę – nie tylko finansową, ale i wizerunkową.
Pamiętajmy: ochrona przed oszustwami jest ważna, ale w cyfrowym świecie „cel nie uświęca środków”. Każdy administrator danych musi być gotowy na wykazanie się zasadą rozliczalności, czyli udowodnienie, że działa zgodnie z duchem i literą RODO. Dla użytkowników to z kolei ważna lekcja asertywności – nie każda prośba o skan dowodu w aplikacji jest legalna.
