KOMPAS FORSAFE 2026/40

Podstawa prawna naruszenia

Art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 25 ust. 1, art. 32 ust. 1, 2 RODO.

Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.

Przyczyna naruszenia

Naruszenie wynikało z braku przeprowadzenia analizy ryzyka oraz niewdrożenia adekwatnych środków technicznych i organizacyjnych zabezpieczających pocztę elektroniczną. Administrator błędnie zakładał, że zabezpieczenia dostawcy usług hostingowych są wystarczające, co doprowadziło do braku kontroli nad bezpieczeństwem danych. Dodatkowo nie prowadzono regularnego testowania skuteczności zabezpieczeń, co uniemożliwiło wykrycie podatności i zapobieżenie incydentowi.

Opis wydarzeń

Incydent bezpieczeństwa w obszarze poczty elektronicznej: Sprawa dotyczyła uzyskania przez nieuprawniony podmiot dostępu do służbowej skrzynki poczty elektronicznej pracownika administratora. Konto e-mail zostało wykorzystane do wysyłki wiadomości typu spam, co stanowiło pierwszy sygnał naruszenia bezpieczeństwa. Analiza wskazała, że pracownik nie logował się w czasie zdarzenia, co potwierdzało przejęcie dostępu do skrzynki przez osobę trzecią.
Zakres danych objętych potencjalnym naruszeniem: W przejętej skrzynce znajdowały się dane osobowe klientów, pracowników tych klientów oraz członków ich rodzin, w tym dzieci zgłaszanych do systemu ubezpieczeń. Zakres danych był szeroki i obejmował m.in. imiona i nazwiska, numery PESEL, adresy zamieszkania, dane finansowe, dane o wynagrodzeniach oraz informacje zawarte w dokumentach tożsamości. Charakter tych danych oznaczał podwyższony poziom ryzyka w przypadku ich ujawnienia lub wykorzystania.
Brak możliwości ustalenia skali naruszenia: Administrator nie posiadał logów ani narzędzi monitorujących umożliwiających ustalenie, czy dane zostały skopiowane lub wykorzystane przez osobę nieuprawnioną. Oznaczało to brak realnej kontroli nad incydentem oraz brak możliwości oszacowania jego skutków. Brak takich mechanizmów został uznany przez organ nadzorczy za poważne uchybienie w zakresie bezpieczeństwa danych.
Błędna ocena incydentu przez administratora: Administrator początkowo przyjął stanowisko, że nie doszło do naruszenia danych osobowych, argumentując, że brak jest dowodów na wyciek informacji. Organ nadzorczy wskazał jednak, że sam fakt nieuprawnionego dostępu do skrzynki pocztowej stanowi naruszenie bezpieczeństwa danych, niezależnie od możliwości potwierdzenia ich faktycznego wykorzystania.
Brak systemowych zabezpieczeń przed incydentem: Przed wystąpieniem naruszenia administrator nie przeprowadzał analizy ryzyka, nie posiadał wdrożonych kompleksowych polityk bezpieczeństwa oraz nie prowadził regularnych testów środków technicznych i organizacyjnych. W szczególności nie stosowano mechanizmów pozwalających na wykrycie nieautoryzowanego dostępu ani nie analizowano podatności związanych z wykorzystaniem poczty elektronicznej.
Działania naprawcze podjęte po incydencie: Dopiero po wystąpieniu naruszenia administrator podjął działania zmierzające do uporządkowania systemu ochrony danych, w tym przeprowadził audyt infrastruktury IT, opracował analizę ryzyka oraz wdrożył polityki i procedury bezpieczeństwa. Wprowadzono również szkolenia pracowników oraz mechanizmy kontroli zabezpieczeń.
Ocena organu nadzorczego: UODO uznał, że naruszenie miało charakter systemowy i długotrwały, ponieważ brak odpowiednich środków bezpieczeństwa występował przez kilka lat. Kluczowe znaczenie miało niewdrożenie analizy ryzyka oraz brak regularnego testowania zabezpieczeń, co doprowadziło do naruszenia zasady integralności i poufności oraz zasady rozliczalności. W konsekwencji na administratora nałożono administracyjną karę pieniężną w wysokości 11 594 PLN.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

Wdrożenie analizy ryzyka jako podstawy systemu ochrony danych: Administratorzy powinni przeprowadzać i regularnie aktualizować analizę ryzyka dla wszystkich procesów przetwarzania danych osobowych, w szczególności tych realizowanych w środowiskach elektronicznych. Analiza powinna uwzględniać realne zagrożenia, podatności oraz potencjalne skutki naruszeń dla osób fizycznych.
Zapewnienie bezpieczeństwa poczty elektronicznej jako kluczowego kanału przetwarzania danych: Poczta elektroniczna powinna być traktowana jako system wysokiego ryzyka. Należy wdrożyć mechanizmy takie jak uwierzytelnianie wieloskładnikowe, kontrola dostępu, monitoring logowań oraz zabezpieczenia przed phishingiem i przejęciem kont.
Regularne testowanie, mierzenie i ocenianie skuteczności zabezpieczeń: Organizacje powinny wdrożyć proces ciągłego testowania środków bezpieczeństwa, obejmujący zarówno rozwiązania techniczne, jak i procedury organizacyjne. Testowanie powinno być dokumentowane i stanowić podstawę do wprowadzania usprawnień.
Budowa pełnej dokumentacji zgodności: Administrator powinien posiadać aktualną dokumentację obejmującą polityki bezpieczeństwa, procedury operacyjne, wyniki analiz ryzyka oraz raporty z audytów. Dokumentacja ta stanowi podstawowy dowód realizacji zasady rozliczalności.
Utrzymanie odpowiedzialności administratora mimo korzystania z usług zewnętrznych: Powierzenie przetwarzania danych podmiotowi zewnętrznemu nie zwalnia administratora z odpowiedzialności za bezpieczeństwo danych. Konieczne jest aktywne monitorowanie działań podmiotów przetwarzających oraz weryfikacja stosowanych przez nich zabezpieczeń.
Szkolenia i budowanie świadomości pracowników: Regularne szkolenia z zakresu bezpieczeństwa informacji i ochrony danych osobowych są kluczowe dla ograniczenia ryzyka incydentów wynikających z błędów ludzkich. Pracownicy powinni być przygotowani do identyfikowania zagrożeń oraz właściwego reagowania na incydenty.
Stała weryfikacja zgodności i doskonalenie systemu bezpieczeństwa: Zgodność z RODO nie ma charakteru jednorazowego działania. Organizacje powinny prowadzić ciągły monitoring, audyty oraz aktualizację środków ochrony, szczególnie w odpowiedzi na zmiany technologiczne lub organizacyjne.