Prezes UODO nałożył karę 66 500 PLN na Uniwersytecki Dziecięcy Szpital Kliniczny w Białymstoku. Sprawa dotyczy incydentu ransomware i nieprawidłowo przeprowadzonej analizy ryzyka.
Prezes UODO ukarał Uniwersytecki Dziecięcy Szpital Kliniczny im. L. Zamenhofa w Białymstoku kwotą 66 500 PLN za niewdrożenie adekwatnych środków technicznych i organizacyjnych. Decyzja zapadła po ataku ransomware, który zablokował dostęp do systemów i spowodował naruszenie poufności oraz dostępności danych ok. 2000 pracowników. Systemy przetwarzające dane pacjentów nie zostały przejęte.
Organ wskazał, że analiza ryzyka była nierzetelna: przygotowano ją z perspektywy organizacji zamiast praw i wolności osób, nie powiązano konkretnych procesów przetwarzania z zagrożeniami i podatnościami, a dokumenty były niespójne i ogólne. Administrator powoływał się na audyt zgodności z krajowym systemem cyberbezpieczeństwa, lecz – jak podkreślono – „cyberbezpieczeństwo to nie to samo co ochrona danych osobowych”.
UODO stwierdził również brak procedury testów odtworzeniowych i niewystarczające zabezpieczenia kopii zapasowych, co przełożyło się na trudności w pełnym odtworzeniu danych po incydencie. Dodatkowo szpital nie wykazał regularnego testowania, mierzenia i oceniania skuteczności środków bezpieczeństwa ani ich udokumentowania, co narusza zasadę rozliczalności z art. 5 ust. 2 RODO. Sygnatura: DKN.5131.48.2022.
Co to oznacza w praktyce
Decyzja podkreśla konieczność analizy ryzyka z perspektywy osób, których dane dotyczą, oraz regularnego testowania i dokumentowania skuteczności zabezpieczeń, w tym procedur odtworzeniowych i kopii zapasowych.
Źródło: UODO – aktualności.
Jeżeli juz odwiedziłeś naszą stronę - zapraszamy do przejrzenia cennika usług!
- UODO ukarał spółkę medyczną za łączenie funkcji prezesa i IOD - 1 października 2025
- UODO: kara dla szpitala w Białymstoku za braki w analizie ryzyka i zabezpieczeniach - 2 lipca 2025