Dane osobowe: Sanepid zignorował ryzyko wycieku danych

Powiatowy inspektor sanitarny w Policach otrzymał 20 tysięcy złotych kary za niewdrożenie odpowiednich zabezpieczeń technicznych i organizacyjnych i brak regularnego ich testowania. Karę nałożył prezes Urzędu Ochrony Danych Osobowych, a cała sprawa zaczęła się od zgubionego prywatnego pendrive’a ze służbowymi danymi o chorych na Covid--19.

Sanepid w Policach zgłosił w 2023 r., że pracownik zgubił prywatny, niezaszyfrowany i niechroniony hasłem pendrive z danymi 4200 osób, w tym chorych na Covid-19 (a więc danymi dotyczącymi zdrowia) zebranymi do 2021 r., a także danymi z 300 postępowań administracyjnych.

Zgłoszenie stało się dla prezesa Urzędu Ochrony Danych Osobowych (UODO) impulsem do dokonania oceny realizacji przez administratora spoczywających na nim obowiązków wynikających z przepisów RODO. Prezes UODO przeprowadził postępowanie wyjaśniające i wszczął postępowanie administracyjne, w toku którego ustalił m.in., że administrator danych nie przeprowadzał prawidłowo analizy ryzyka i nie miał odrębnych regulacji dotyczących zarządzania zewnętrznymi nośnikami danych. Używanie ich było po prostu zakazane. Ryzyko, że pracownik jednak z takiego nośnika skorzysta, Sanepid oszacował jako niskie i niewymagające podejmowania działań. Założenia tego urzędnicy jednak odpowiednio nie przetestowali.

Sprawdź również książkę: Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz >>

Zgubiony pendrive z wrażliwymi danymi

Dopiero gdy sprawą zajął się prezes UODO, administrator sprawdził zabezpieczenia i zablokował możliwość kopiowania danych na nośniki zewnętrzne. Dlatego zdarzenie to prezes UODO zidentyfikował jako naruszenie zasady integralności i poufności (art. 5 ust. 1 lit. f) RODO) oraz zasady rozliczalności (art. 5 ust 2 RODO). W decyzji prezesa UODO (nr DKN.5131.3.2024) przypomina się, że RODO chroni dane osobowe dzięki zarządzaniu ryzykiem, które ma charakter ciągłego procesu. Administrator samodzielnie ma przeprowadzić szczegółową analizę procesów przetwarzania danych i dokonać oceny ryzyka, a następnie zastosować takie środki i procedury, które będą adekwatne do oszacowanego ryzyka. RODO nie zakłada istnienia listy wymagań do spełnienia. Administratorom nie wskazuje się konkretnych środków i procedur w zakresie bezpieczeństwa.

Oznacza to, że każdy administrator musi móc udowodnić przed organem nadzorczym, że wprowadzone rozwiązania - mające na celu zapewnienie bezpieczeństwa danych osobowych - są adekwatne do poziomu ryzyka. Ponadto muszą one uwzględniać charakter danej organizacji oraz wykorzystywanych mechanizmów przetwarzania danych osobowych.

W sprawie Sanepidu istotne jest to, że administrator, który przetwarzał dane dotyczące zdrowia z całego, liczącego ponad 86 tysięcy mieszkańców, powiatu – przed naruszeniem ochrony danych osobowych - przeprowadzał analizę ryzyka w sposób nieprawidłowy, bowiem zbyt ogólnikowo. W efekcie nie mógł dobrać odpowiednich do ryzyka środków bezpieczeństwa, co doprowadziło do incydentu ze zgubieniem pendriva.

Spóźniona ocena ryzyka

Prawidłową analizę ryzyka administrator przeprowadził dopiero po zgłoszeniu do UODO naruszenia ochrony danych osobowych. Ryzyko w obszarze przetwarzania danych osobowych na zewnętrznych nośnikach danych ocenione zostało na poziomie akceptowalnym – ale po uwzględnieniu zabezpieczeń polegających m.in. na blokadzie portów USB przed możliwością użycia prywatnych zewnętrznych pendrivów.

Prezes UODO ocenił, że stwierdzone w niniejszej sprawie naruszenie przepisów RODO ma znaczną wagę i poważny charakter, jako że stwarzało wysokie ryzyko negatywnych skutków dla osób, których dane dotyczą. Nie ma dowodów, iż z danymi osobowymi przetwarzanymi na niezabezpieczonym nośniku danych nie zapoznały się osoby postronne. Na niekorzyść administratora należy zaliczyć również długi czas trwania naruszenia przepisów RODO. Administrator nie działał umyślnie, niemniej dopuścił się licznych zaniechań skutkujących znaczącym zwiększeniem ryzyka naruszenia poufności przetwarzanych danych, co świadczy o rażącym jego niedbalstwie i stanowi istotną okoliczność obciążającą.

-Po wystąpieniu incydentu administrator podjął czynności, które niewątpliwie przyczyniły się do wzmocnienia bezpieczeństwa informacji. Dla organu nadzorczego to ważny sygnał, że administrator świadomy był swoich uchybień we wskazanym obszarze. Zdaniem organu nadzorczego okoliczności te świadczą o tym, że administrator mógł i powinien był przewidzieć, że przyjęte przez niego rozwiązania nie zapewniają odpowiedniego stopnia bezpieczeństwa danych osobowych przetwarzanych z użyciem prywatnych nośników danych przez pracowników, jednak wadliwie przeprowadzona analiza, pociągnęła za sobą dalsze nieprawidłowości. Wynikiem postępowania przed prezesem UODO jest więc nie tylko poprawa sposobu ochrony danych u administratora, ale także kara finansowa – czytamy w komunikacie UODO.

-------------------------------------------------------------------------------------------------------------------

Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.