Podstawa prawna naruszenia
Art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 25 ust. 1, 2, art. 32 ust. 1, 2 RODO.
Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.
Przyczyna naruszenia
Naruszenie ochrony danych osobowych przez Sąd Rejonowy Szczecin-Centrum w Szczecinie wynikało z niewdrożenia odpowiednich środków technicznych i organizacyjnych, które zapewniałyby odpowiedni poziom bezpieczeństwa danych. Konkretnie, dane osobowe były przechowywane na prywatnych, nieszyfrowanych nośnikach danych, co doprowadziło do ich zagubienia i naruszenia poufności.
Opis wydarzeń
- Zgłoszenie naruszenia: We wrześniu 2020 roku Sąd Rejonowy Szczecin-Centrum zgłosił zagubienie trzech nośników danych typu pendrive, z których jeden był służbowy i szyfrowany, a dwa prywatne i nieszyfrowane. Nośniki te zawierały dane osobowe nieustalonej liczby osób, w tym imiona, nazwiska, adresy zamieszkania, dane dotyczące zakładu pracy oraz zdrowia.
- Postępowanie wyjaśniające: Prezes Urzędu Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, które wykazało, że Sąd nie wdrożył adekwatnych środków technicznych i organizacyjnych, mimo zaleceń z trzech różnych audytów.
- Środki podjęte przez Sąd: Po naruszeniu, Sąd zablokował porty USB w komputerach służbowych, uniemożliwiając korzystanie z nieautoryzowanych nośników danych. Wprowadzono również ewidencjonowanie i szyfrowanie przenośnych pamięci oraz przeprowadzono audyty bezpieczeństwa.
Źródło
Pełna treść decyzji organu nadzorczego
Aby uniknąć podobnych naruszeń, zalecamy:
- Wdrożenie środków technicznych: Zaleca się blokadę portów USB w celu uniemożliwienia korzystania z prywatnych nośników danych oraz stosowanie wyłącznie szyfrowanych nośników danych autoryzowanych przez Dział IT.
- Regularne audyty i szkolenia: Konieczne jest przeprowadzanie regularnych audytów bezpieczeństwa oraz szkoleń dla pracowników z zakresu ochrony danych osobowych.
- Monitorowanie zgodności: Zaleca się regularne testowanie, mierzenie i ocenianie skuteczności wdrożonych środków technicznych i organizacyjnych, aby zapewnić ciągłe bezpieczeństwo przetwarzanych danych osobowych.
Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu
