UODO: kary po kradzieży laptopa i braki w zabezpieczeniach danych

3 miesiące temu

Prezes UODO ukarał administratora i podmiot przetwarzający po incydencie z kradzieżą służbowego laptopa. Kontrola wykazała braki w analizie ryzyka oraz niewystarczające środki techniczne i organizacyjne.

Prezes Urzędu Ochrony Danych Osobowych nałożył pieniężne kary administracyjne na Starostę Powiatu Lubartowskiego oraz Wojewódzkie Biuro Geodezji i Urządzania Terenów Rolnych w Lublinie. Sprawa zaczęła się od zgłoszenia naruszenia po kradzieży służbowego laptopa pracownika podmiotu przetwarzającego. Zdarzenie spowodowało utratę poufności danych około 700 osób, w tym m.in. imion i nazwisk, dat urodzenia, adresów, numerów PESEL, danych z dowodów osobistych oraz numerów ksiąg wieczystych.

Organ nadzorczy ocenił, czy zastosowane środki bezpieczeństwa były adekwatne. Stwierdzono naruszenia po stronie administratora, w tym brak właściwych rozwiązań technicznych i organizacyjnych oraz nieweryfikowanie podmiotu przetwarzającego pod kątem realnego zapewnienia zgodnego z prawem przetwarzania. Pominięto także ryzyko kradzieży sprzętu, mimo zadań realizowanych przez podmiot przetwarzający, co wymagało szerszego ujęcia ryzyk i doboru środków. Po incydencie wdrożono szyfrowanie dysków, które – gdyby istniało wcześniej – mogło zapobiec odczytaniu danych.

UODO podkreślił ciągły charakter zarządzania ryzykiem oraz potrzebę konkretnej, udokumentowanej analizy powiązanej z rzeczywistymi procesami. Wykazano też, że nie testowano skuteczności zasad organizacyjnych dotyczących urządzeń przenośnych. Odpowiedzialność nie spoczywa wyłącznie na administratorze; podmiot przetwarzający powinien współdziałać i w tej sprawie temu nie sprostał.

Co to oznacza w praktyce

Organizacje powinny prowadzić ciągłą, udokumentowaną analizę ryzyka, weryfikować podmioty przetwarzające oraz testować środki organizacyjne. Wcześniejsze szyfrowanie dysków mogłoby uniemożliwić odczytanie danych po kradzieży. Odpowiedzialność za bezpieczeństwo dzielą administrator i podmiot przetwarzający.

Źródło: UODO – aktualności.

Jeżeli juz odwiedziłeś naszą stronę - zapraszamy do przejrzenia cennika usług!