Analiza ryzyka jest konieczna - upomnienia dla Prezesa i Dyrektora Sądu

W Sądzie Rejonowym Lublin-Zachód długo nie przeprowadzano w ogóle analizy ryzyka przetwarzania danych, a gdy już ją przeprowadzono, uczyniono to niewłaściwie. Długo nie wdrażano też polityki ochrony danych odpowiadającej przepisom rozporządzenia ogólnego o ochronie danych osobowych, z powodu nieprzeprowadzania regularnego testowania, mierzenia i oceniania środków mających zapewnić bezpieczeństwo przetwarzania. Nieprawidłowości zostały ujawnione w związku z naruszeniem ochrony danych, które wystąpiło przy okazji realizacji prawa dostępu do informacji publicznej, gdy sąd udostępnił nadmiarowe dane osobowe, przesyłając wnioskodawcy plik arkusza kalkulacyjnego.

Prezes UODO Mirosław Wróblewski udzielił upomnienia prezesowi i dyrektorowi sądu i nakazał im wdrożyć odpowiednie środki techniczne i organizacyjne w celu zminimalizowania ryzyka wiążącego się z przetwarzaniem danych osobowych.

Prezes sądu oraz dyrektor sądu zgłosili Prezesowi UODO naruszenie ochrony danych osobowych, które nastąpiło w związku z realizacją wniosku o udzielenie dostępu do informacji publicznej. Wniosek obejmował udostępnienie danych sędziów wraz z danymi lekarzy i psychologów, którzy dopuszczali sędziów do wykonywania zawodu. Sąd udzielił informacji publicznej, przesyłając wnioskodawcy plik arkusza kalkulacyjnego, zawierający dane osobowe wykraczające poza zakres wniosku o udzielenie informacji, bowiem plik ten zawierał  dodatkowe arkusze, z danymi o szerszym zakresie. Nadmiarowość udostępnienia danych i zarazem naruszenie ich ochrony sprowadziło się do przesłania informacji o: oznaczeniu wydziału, w którym sędzia pracuje, PESEL, adresach zamieszkania lub pobytu sędziów, a także datach ich urodzenia oraz ich powołania.

Zgłoszenie naruszenia ochrony danych stanowiło impuls dla Prezesa UODO do zbadania, jak w sądzie przestrzegane są przepisy o ochronie danych osobowych. W tym celu w sądzie – na polecenie Prezesa UODO M. Wróblewskiego – została przeprowadzona kontrola, w rezultacie której wszczęto postępowanie administracyjne z powodu stwierdzonych w toku ww. kontroli nieprawidłowości w zakresie przestrzegania przepisów rozporządzenia ogólnego o ochronie danych osobowych. W toku kontroli i postępowania Prezes UODO ustalił, że w sądzie nie przeprowadzano regularnego testowania, mierzenia i oceniania środków bezpieczeństwa przetwarzania. W wyniku powyższego, w sądzie długo nie było wdrożonej polityki ochrony danych odpowiadającej aktualnym wymogom prawnym, tj. przepisom rozporządzenia ogólnego, w tym także procedury udzielania odpowiedzi na wnioski o dostęp do informacji publicznej i anonimizacji takiej informacji. W sądzie wdrożono wprawdzie politykę dotyczącą sfery rachunkowości i kadr, ale nie obejmowała ona zasad ochrony danych osobowych w zakresie odnoszącym się do całokształtu działań sądu, w tym również w zakresie udzielania informacji publicznej. Wdrożenie polityki ochrony danych o treści odpowiadającej aktualnym wymogom prawnym nastąpiło dopiero na krótko przed wydaniem przez Prezesa UODO ostatecznej decyzji.

W toku kontroli Prezesa UODO, a następnie postępowania administracyjnego okazało się też, że w sądzie długo nie przeprowadzano analizy ryzyka związanego z przetwarzaniem danych, następnie zaś, po jej przeprowadzeniu okazało się, że nie spełnia ona wymogów przepisów rozporządzenia ogólnego o ochronie danych osobowych (RODO).

W tej sytuacji Prezes UODO nakazał w decyzji prezesowi i dyrektorowi sądu dostosowanie operacji przetwarzania do rozporządzenia ogólnego o ochronie danych poprzez regularne testowanie, mierzenie i ocenianie środków służących bezpieczeństwu przetwarzania, a także poprzez przeprowadzenie prawidłowo analizy ryzyka dla przetwarzania danych w sądzie.

Prezes UODO uznał także w decyzji, że ze względu na poczynione starania prezesa i dyrektora sądu w zakresie wdrożonej polityki ochrony danych, a także podjęte działania celem przeprowadzenia analizy ryzyka, wystarczającym środkiem sankcyjnym jest udzielenie prezesowi sądu oraz dyrektorowi sądu upomnień.

DKN.5112.63.2024