Kradzież laptopa z danymi 700 osób. UODO ukarał starostę i jednostkę geodezyjną
Zaufanie do podmiotu przetwarzającego nie zwalnia samorządu z obowiązku kontroli. Prezes UODO ukarał Starostę Powiatu Lubartowskiego i wojewódzką jednostkę geodezyjną za naruszenie ochrony danych osobowych związane z kradzieżą służbowego laptopa. Wskazał w uzasadnieniu decyzji, że za bezpieczeństwo danych osobowych odpowiadają wspólnie administrator i podmiot przetwarzający.
W 2023 r. Starosta Powiatu Lubartowskiego zgłosił prezesowi Urzędu Ochrony Danych Osobowych naruszenie ochrony danych osobowych związane z kradzieżą służbowego laptopa pracownika Wojewódzkiego Biura Geodezji i Urządzania Terenów Rolnych w Lublinie. Zdarzenie dotyczyło utraty poufności danych około 700 osób.
Na skradzionym urządzeniu znajdowały się m.in. imiona i nazwiska, daty urodzenia, adresy zamieszkania, numery PESEL, serie i numery dowodów osobistych oraz numery ksiąg wieczystych.
Przeczytaj także: Nieanonimizowana petycja w BIP – UODO ukarał burmistrza Myślenic
Kradzież laptopa ujawniła braki w zabezpieczeniach
Zgłoszenie incydentu stało się podstawą do sprawdzenia przez organ nadzorczy, czy administrator oraz podmiot przetwarzający wdrożyli odpowiednie środki techniczne i organizacyjne zapewniające bezpieczeństwo przetwarzanych danych.
Prezes UODO stwierdził, że administrator naruszył przepisy RODO m.in. poprzez niewdrożenie adekwatnych środków bezpieczeństwa oraz brak właściwej weryfikacji podmiotu przetwarzającego. Administrator przyjął bowiem, że podmiot przetwarzający posiada wszystkie procedury gwarantujące zgodne z prawem przetwarzanie danych osobowych.
W postępowaniu ustalono, że zarówno administrator, jak i podmiot przetwarzający, nie uwzględnili odpowiednio ryzyka kradzieży sprzętu komputerowego. Wynikało to z założenia, że pracownicy nie przetwarzają danych poza siedzibami swoich organizacji lub nie posiadają zgody na takie działania.
Zdaniem organu nadzorczego w przypadku realizacji zadań związanych ze scaleniem gruntów niezbędne było uwzględnienie tego zagrożenia w analizie ryzyka oraz zastosowanie odpowiednich zabezpieczeń.
Analiza ryzyka musi odpowiadać rzeczywistym zagrożeniom
Po incydencie wdrożono m.in. szyfrowanie dysków. Jak wskazał UODO, można przyjąć, że zastosowanie tego rozwiązania wcześniej mogłoby uniemożliwić odczytanie danych osobowych ze skradzionego laptopa, a tym samym zapobiec utracie ich poufności.
Organ nadzorczy podkreślił, że zarządzanie ryzykiem stanowi fundament systemu ochrony danych osobowych i powinno mieć charakter ciągły. Analiza ryzyka musi być udokumentowana, konkretna oraz powiązana z rzeczywistym procesem przetwarzania danych.
UODO zwrócił również uwagę, że poza testowaniem zabezpieczeń technicznych nie weryfikowano skuteczności środków organizacyjnych. Dotyczyło to m.in. nadzoru nad urządzeniami przenośnymi, zasad wynoszenia sprzętu poza obszar przetwarzania danych osobowych czy zakazu pozostawiania urządzeń bez nadzoru.
Odpowiedzialność ponosi także podmiot przetwarzający
RODO wymaga, aby dane osobowe były przetwarzane w sposób zapewniający ich odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym przetwarzaniem, przypadkową utratą, zniszczeniem lub uszkodzeniem. Jednocześnie zasada rozliczalności nakłada na administratora obowiązek wykazania, że przestrzega zasad przetwarzania danych osobowych.
Jak podkreślił prezes UODO, odpowiedzialności za naruszenie przepisów nie można przypisywać wyłącznie administratorowi danych. Podmiot przetwarzający ma obowiązek współdziałać z administratorem i wspierać go w realizacji obowiązków związanych z wdrażaniem adekwatnych środków bezpieczeństwa.
W ocenie organu nadzorczego w tej sprawie podmiot przetwarzający nie tylko nie udzielił administratorowi wymaganej pomocy, ale również swoją nierzetelnością przyczynił się do naruszenia przepisów RODO. Z tego powodu kary administracyjne zostały nałożone na oba podmioty.
