Za ochronę danych osobowych odpowiadają administrator i podmiot przetwarzający

Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski nałożył pieniężne kary administracyjne na Starostę Powiatu Lubartowskiego oraz na Wojewódzkie Biuro Geodezji i Urządzania Terenów Rolnych w Lublinie. 

W 2023 r. Starosta dokonał zgłoszenia Prezesowi UODO naruszenia ochrony danych osobowych na skutek kradzieży służbowego laptopa jednego z pracowników Wojewódzkiego Biura Geodezji. W zgłoszeniu wskazano, że zdarzenie dotyczyło utraty poufności danych osobowych ok. 700 osób, które obejmowały między innymi imiona i nazwiska, daty urodzenia, adresy zamieszkania, numery PESEL, serie i numery dowodów osobistych oraz numery ksiąg wieczystych.

Zgłoszenie Starosty stało się impulsem dla organu nadzorczego do przeprowadzenia oceny czy administrator oraz podmiot przetwarzający rzeczywiście wdrożyli adekwatne środki bezpieczeństwa mające gwarantować bezpieczeństwo procesu przetwarzania danych osobowych.

Prezes Urzędu Ochrony Danych Osobowych stwierdził, że naruszenie RODO przez administratora polegało m.in. na niewdrożeniu odpowiednich środków technicznych i organizacyjnych oraz braku weryfikacji podmiotu przetwarzającego przez administratora pod kątem wdrożenia środków zapewniających przetwarzanie danych osobowych zgodne z obowiązującymi przepisami prawa - administrator uznał bowiem, że podmiot przetwarzający posiada wszelkie procedury zapewniające ochronę danych osobowych.

Przyczyną nieuwzględnienia zagrożenia w postaci kradzieży sprzętu komputerowego było to, że pracownicy administratora, jak i podmiotu przetwarzającego, nie przetwarzali lub nie mieli zgody na przetwarzanie danych osobowych poza siedzibą swoich organizacji. W tym przypadku właściwe uwzględnienie w analizie zagrożeń i dobór adekwatnych środków były jednak niezbędne – z uwagi na specyfikę zadań (scalenie gruntów) realizowanych przez podmiot przetwarzający na zlecenie administratora. Po incydencie wdrożono m.in. zabezpieczenie pod postacią szyfrowania dysków, które – jak można założyć – wprowadzone odpowiednio wcześniej mogło zapobiec odczytaniu danych osobowych ze skradzionego laptopa i utraty ich poufności.

Organ nadzorczy podkreślił, że zarządzanie ryzykiem jest fundamentem systemu ochrony danych i ma charakter ciągły. Analiza ryzyka powinna być udokumentowana, konkretna i związana z rzeczywistym procesem przetwarzania.

Prezes UODO ustalił, że obok testowania zabezpieczeń technicznych nie badano skuteczności przyjętych środków organizacyjnych – np. kwestii nadzoru nad urządzeniami przenośnymi, zasad wynoszenia sprzętu poza obszar przetwarzania danych osobowych i samego zakazu pozostawiania urządzeń bez nadzoru.

RODO wymaga przetwarzania danych w sposób zapewniający jego odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym przetwarzaniem, przypadkową utratą, zniszczeniem lub uszkodzeniem. Zgodnie zaś z zasadą rozliczalności administrator musi być w stanie wykazać, że przestrzega zasad przetwarzania danych osobowych. Przepisy RODO mówią wprost o obowiązku wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie danych odbywało się zgodnie z prawem.  

Odpowiedzialności za naruszenie RODO nie można przypisać tylko administratorowi. Podmiot przetwarzający jest obowiązany do współdziałania z administratorem i udzielania mu pomocy w wywiązywaniu się z obowiązków w zakresie m.in. wdrożenia adekwatnych środków bezpieczeństwa. W niniejszej sprawie podmiot przetwarzający nie tylko nie wspierał administratora, ale przyczynił się przez swoją nierzetelność do naruszenia przepisów prawa.

DKN.5131.5.2025