Skarga KSSiP na decyzję UODO oddalona

4 lata temu

Zgodnie z orzeczeniem Wojewódzkiego Sądu Administracyjnego w Warszawie, Krajowa Szkoła Sądownicza i Prokuratury (KSSiP) nie wdrożyła stosownych środków technicznych ani organizacyjnych, gwarantujących odpowiedni poziom przetwarzania danych. Chodzi o głośną sprawę ujawnienia danych tej instytucji. KSSiP nie zgadza się z zarzutami postawionymi przez UODO.

Wyciek danych z KSSiP

W wydanym 26 stycznia 2022 roku wyroku, WSA przychylił się do decyzji organu nadzorczego, nakładającej na KSSiP karę pieniężną w wysokości 100 tys. zł. Stwierdzono bowiem, że instytucja dopuściła się naruszenia danych. Chodzi o dane osobowe związane z domeną kssip.gov.pl.

Nieznani sprawcy uzyskali dostęp do pliku z kopią bazy danych, które zostały następnie ujawnione w Internecie. Kopia, o której mowa, została zaś utworzona z powodu testowania nowej platformy szkoleniowej przez firmę zewnętrzną.

KSSiP nie zapewniła należytego bezpieczeństwa danych

KSSiP oparła swoją linię obrony na fakcie, iż to pracownik firmy przetwarzającej dane wykonał kopie bazy danych, a następnie zostawił ją na serwerze. W opinii instytucji to właśnie na nim spoczywa odpowiedzialność za całe zajście. WSA przychylił się jednak do stanowiska UODO, zgodnie z którym z uwagi na fakt, że to administrator podjął decyzję o konieczności usunięcia bazy danych, to w jego gestii leżało skontrolowanie czy zostało to zrealizowane.

Sąd podkreślił przy tym, że to na administratorze spoczywa odpowiedzialność zagwarantowania bezpieczeństwa przetwarzania danych osobowych. Jednoznacznie wynika to z umowy zawieranej pomiędzy nim a podmiotem przetwarzającym. To administrator jest bowiem inicjatorem podejmowanych w tym obszarze działań, decydującym o formach i celach przetwarzania.

WSA poparł stanowisko UODO

Jak wykazał audyt ochrony danych osobowych przeprowadzony przez UODO, w umowie zawartej przez KSSiP z podmiotem przetwarzającym dane, brak było odpowiednich postanowień. Oznacza to, że zakres powierzanych danych nie został doprecyzowany. W umowie nie uwzględniono również formy danych osobowych ani nie wskazano ich kategorii. Pominięto także zobowiązanie podmiotu przetwarzającego do przetwarzania danych osobowych jedynie na pisemne polecenie administratora. Stanowisko to podzielił WSA.

KSSiP podniosła wobec UODO zarzut, że prowadzone postępowanie powinno zostać zawieszone do momentu zakończenia postępowania karnego w związku z ujawnieniem danych, do którego doszło. WSA oddalił jednak tę skargę. W uzasadnieniu podkreślił zaś, że uprawnienia UODO nie są tożsame z uprawnieniami prokuratury i sądu karnego. Urząd dokonuje bowiem oceny działań administratora na drodze rzetelnej analizy faktycznego stanu, opierając się przy tym na przepisach o ochronie danych osobowych.

Jeżeli juz odwiedziłeś naszą stronę - zapraszamy do przejrzenia cennika usług!