UODO ukarał Sanepid w Policach za braki w zabezpieczeniach i analizie ryzyka

10 miesięcy temu

Prezes UODO nałożył 20 tys. zł kary na Powiatowego Inspektora Sanitarnego w Policach po incydencie z utratą niezaszyfrowanego pendrive’a. Organ wskazał na nieprawidłową analizę ryzyka i brak właściwych procedur dotyczących nośników zewnętrznych.

UODO ukarał kwotą 20 tys. zł Powiatowego Inspektora Sanitarnego w Policach za niewdrożenie adekwatnych zabezpieczeń technicznych i organizacyjnych oraz brak ich regularnego testowania. Sprawa wyszła na jaw po zgłoszeniu utraty prywatnego, niezaszyfrowanego pendrive’a z danymi tysięcy osób, w tym informacjami o zdrowiu oraz materiałami z postępowań administracyjnych.

W toku postępowania ustalono, że administrator nie przeprowadzał rzetelnej analizy ryzyka i nie uregulował zarządzania zewnętrznymi nośnikami danych – ich użycie było jedynie zakazane, a ryzyko oceniono jako niskie bez weryfikacji tych założeń. UODO uznał naruszenie zasady integralności i poufności oraz rozliczalności. Dopiero po interwencji organu zablokowano możliwość kopiowania danych na nośniki zewnętrzne i zweryfikowano zabezpieczenia.

Prezes UODO podkreślił, że ochrona danych w RODO opiera się na podejściu opartym na ryzyku, które „ma charakter ciągłego procesu”. Administrator musi wykazać, że zastosowane środki są adekwatne do ryzyka i specyfiki organizacji; przepisy nie tworzą zamkniętej listy wymagań. Organ wskazał także na długi czas trwania nieprawidłowości oraz rażące niedbalstwo, przy jednoczesnym uwzględnieniu działań naprawczych podjętych po incydencie.

Co to oznacza w praktyce

Administratorzy muszą umieć udowodnić adekwatność środków bezpieczeństwa do ryzyka i specyfiki procesów. Sama deklaracja zakazu użycia nośników zewnętrznych nie zastępuje realnych zabezpieczeń i testowania założeń.

Źródło: UODO – aktualności.

Jeżeli juz odwiedziłeś naszą stronę - zapraszamy do przejrzenia cennika usług!