Podstawa prawna naruszenia

Art. 33 ust. 1, art. 34 ust. 1 RODO.

Niewystarczające wypełnienie obowiązków powiadamiania o naruszeniu danych.

Przyczyna naruszenia

Naruszenie ochrony danych osobowych w Fundacji Promocji Mediacji i Edukacji Prawnej Lex Nostra było wynikiem kradzieży teczek zawierających dane osobowe beneficjentów. Kradzież miała miejsce w styczniu 2020 roku w mazowieckim biurze terenowym fundacji.

Opis wydarzeń

1. Zgłoszenie naruszenia: Do Urzędu Ochrony Danych Osobowych (UODO) wpłynęło zawiadomienie o podejrzeniu naruszenia ochrony danych osobowych przez Fundację. Zawiadomienie dotyczyło utraty danych osobowych wielu osób na skutek kradzieży teczek.
2. Postępowanie karne: Kradzież była przedmiotem postępowania karnego prowadzonego przez Prokuraturę Rejonową, jednak postępowanie to dotyczyło jedynie usiłowania popełnienia przestępstwa z art. 279 kk, a nie utraty dokumentów zawierających dane osobowe.
3. Brak zgłoszenia naruszenia: Fundacja nie zgłosiła naruszenia ochrony danych osobowych Prezesowi UODO w terminie 72 godzin od stwierdzenia naruszenia, ani nie zawiadomiła osób, których dane dotyczyły, o naruszeniu.
4. Analiza naruszenia: Fundacja przeprowadziła analizę naruszenia, oceniając jego wagę na poziomie niskim, co uzasadniało brak zgłoszenia naruszenia UODO.
5. Działania UODO: Prezes UODO wszczął postępowanie administracyjne wobec Fundacji, wzywając do udzielenia dodatkowych informacji i wyjaśnień dotyczących naruszenia.
6. Odpowiedź Fundacji: Fundacja potwierdziła, że naruszenie dotyczyło 96 osób, a utracona dokumentacja zawierała dane takie jak imię, nazwisko, adres, numer telefonu oraz numer PESEL. Fundacja wskazała również, że dokumentacja była zabezpieczona, jednak niektóre teczki nie były schowane z uwagi na bieżące sprawy.
7. Administracyjna kara finansowa: 13 644 PLN.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

1. Poprawa zabezpieczeń: Wzmocnienie zabezpieczeń dokumentacji zawierającej dane osobowe, w tym regularne szkolenia pracowników z zakresu ochrony danych osobowych.
2. Wdrożenie procedur: Wdrożenie i monitorowanie polityki bezpieczeństwa oraz procedur związanych z przetwarzaniem danych osobowych, aby zapobiec podobnym incydentom w przyszłości.
3. Współpraca z UODO: Współpraca z UODO w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków.

Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu