Prezes UODO po raz pierwszy nałożył karę finansową na podmiot publiczny (urząd miasta) za nieprzestrzeganie przepisów o ochronie danych. Jak poinformował na swojej stronie internetowej www.uodo.gov.pl, kara wyniosła 40.000 zł, bowiem pomimo stwierdzonych w toku postępowania nieprawidłowości, nie zostały one usunięte przez administratora ani nie wdrożył on rozwiązań mających przeciwdziałać naruszeniom w przyszłości. Administrator nie współpracował też z organem nadzoru.
Urząd ukarany został przede wszystkim za brak zawartych umów powierzenia z firmą, na której serwerach znalazły się zasoby Biuletynu Informacji Publicznej (BIP) urzędu miejskiego oraz z inną firmą, która dostarczała oprogramowanie do stworzenia BIP i zajmowała się obsługą serwisową w tym zakresie. W związku z powyższym doszło do naruszenia art. 28 ust. 3 RODO, który zobowiązuje administratora do zawierania umów powierzenia z podmiotami, które przetwarzają dane osobowe w jego imieniu. Brak zawarcia takich umów spowodował, że dane osobowe były udostępniane bez podstawy prawnej, co narusza zasady przetwarzania danych zgodnie z prawem (art. 5 ust. 1 lit. a) oraz poufności (art. 5 ust. 1 lit. f) wynikające z RODO.
Ponadto w trakcie kontroli stwierdzono brak procedur wewnętrznych dotyczących przeglądu zasobów dostępnych w BIP pod kątem ustalenia okresu ich publikowania. W przypadku danych, których okresu przechowywania nie reguluje prawo, administrator powinien sam go ustalić adekwatnie do celów, w jakich je przetwarza. Chodziło tu m.in. o dostępność w BIP oświadczeń majątkowych z 2010 r.
Ustalono również, że zarejestrowane materiały z posiedzeń rady miejskiej były dostępne w BIP jedynie poprzez zamieszczenie linka do dedykowanego kanału na jednym z popularnych serwisów internetowych. W urzędzie miejskim nie było kopii zapasowych tych nagrań. Nie przeprowadzono również analizy ryzyka związanej z publikacją nagrań z posiedzeń rady wyłącznie w tym serwisie internetowym. Doszło więc do naruszenia zasady integralności i poufności oraz zasady rozliczalności wynikających z RODO. Stwierdzono również braki w rejestrze czynności przetwarzania. Nie było w nim np. wskazanych wszystkich odbiorców danych, a także brakowało wskazania planowanego terminu usunięcia danych dla niektórych czynności przetwarzania.
Oprócz kary pieniężnej Prezes UODO nakazał również administratorowi podjęcie działań mających na celu usunięcie stwierdzonych naruszeń w ciągu 60 dni.