Brak zapewnienia bezpiecznego przetwarzania danych osobowych skutkuje karą finansową

Prezes UODO Mirosław Wróblewski nałożył na administratora – Wyższą Szkołę Logistyki w Poznaniu – karę pieniężną w wysokości 64 652 zł. Prezes UODO nakazał także administratorowi dostosowanie operacji przetwarzania do przepisów rozporządzenia 2016/679 poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych w celu zminimalizowania ryzyka wiążącego się z przetwarzaniem danych osobowych, po uprzednim przeprowadzeniu analizy ryzyka, uwzględniającej stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych.

Uczelnia zgłosiła Prezesowi UODO naruszenie ochrony danych osobowych. Incydent polegał na udostępnieniu nieuprawnionym podmiotom - na platformie internetowej dziekanatu - pliku zawierającego szczegółowe dane osobowe 964 studentów, którzy zostali przyjęci na studia w poprzednim roku.

Prezes UODO ustalił, że uczelnia nie przeprowadziła poprawnej analizy ryzyka, co następnie uniemożliwiło wdrożenie odpowiednich środków organizacyjnych i technicznych aby zapewnić bezpieczeństwo przetwarzanych danych osobowych. Organ nadzorczy ocenił, że na skutek nieprawidłowości i zaniedbań - w zapewnieniu bezpieczeństwa przetwarzania danych osobowych - administrator naruszył zasadę integralności i poufności oraz zasadę rozliczalności.

Plik z danymi dołączono do komunikatu poświęconego przydziałom do grup specjalnościowych i językowych, czego przez przypadek dopuścił się pracownik dziekanatu. Na podstawie własnych ustaleń administrator stwierdził, że plik został otwarty przez 125 osób spośród 388, którym umożliwiono do niego dostęp oraz został pobrany 361 razy.

Analizując przestrzeganie zasady poufności, administrator uwzględnił między innymi takie ryzyka dla praw oraz wolności jak np. awarię sprzętu, uszkodzenie systemu informatycznego, atak wirusa oraz nieuprawniony dostęp do danych lub ich przeniesienie na zewnętrzny nośnik - w tym jego utratę oraz ujawnienie haseł dostępowych. Przed wystąpieniem incydentu, administrator nie uwzględniał w analizie ryzyka np. omyłkowego ujawnienia danych. Niestety nawet już po zgłoszeniu incydentu, gdy administrator ponownie przeprowadził analizę ryzyka, to objął nią taki sam katalog zagrożeń co poprzednio i nie zaktualizował go mimo incydentu naruszenia ochrony danych osobowych.

Administrator poinformował organ nadzorczy, że na uczelni odbywały się wybiórcze kontrole sposobów przesyłania informacji do studentów za pomocą jej wewnętrznego systemu i nie stwierdzono wtedy żadnych nieprawidłowości. Oświadczenie administratora nie zostało jednak poparte żadnym dowodem – administrator nie udokumentował zarówno przeprowadzenia próby kontrolnej ani nie wskazał w jaki sposób stwierdził, że komunikaty publikowane przed wystąpieniem incydentu rzeczywiście nie zawierały nadmiarowych danych osobowych.

Nieprawidłowe przeprowadzenie analizy ryzyka oraz nieuwzględnienie pominiętych zagrożeń zarówno przed, jak i po wystąpieniu naruszenia ochrony danych osobowych spowodowało, że administrator w sposób dowolny dobierał różnego rodzaju środki organizacyjne i techniczne mające na celu zapewnienie bezpieczeństwa przetwarzania danych osobowych. W konsekwencji powyższego Administrator nie wdrożył adekwatnych środków bezpieczeństwa w celu zapewnienia właściwej ochrony przetwarzanych danych osobowych, naruszając tym samym art. 24 ust. 1, art. 25 ust.1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679.

DKN.5131.15.2022