KOMPAS FORSAFE 2026/44

Podstawa prawna naruszenia

Art. 24 ust. 1, art. 25 ust. 1, art. 32 ust. 1 i 2, art. 33 ust. 1, art. 34 ust. 1 RODO.

Niewystarczające wypełnienie obowiązków powiadamiania o naruszeniu danych.

Przyczyna naruszenia

Naruszenie było skutkiem niewdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych, w szczególności danych dotyczących zdrowia. Administrator nie przeprowadził rzetelnej analizy ryzyka oraz nie zapewnił kontroli nad sposobem przechowywania i udostępniania danych, co doprowadziło do umieszczenia pliku zawierającego informacje o osobach objętych kwarantanną i izolacją na prywatnym serwerze dostępnym z internetu. Dodatkowo błędna ocena własnej odpowiedzialności spowodowała, że naruszenie nie zostało zgłoszone do organu nadzorczego ani osobom, których dane dotyczyły.

Opis wydarzeń

Przetwarzanie danych osób objętych kwarantanną i izolacją: Jednostka pomocy społecznej realizowała zadania związane z organizacją wsparcia dla mieszkańców objętych kwarantanną lub izolacją domową w okresie pandemii COVID‑19. W ramach tych działań otrzymywała od właściwej stacji sanitarno‑epidemiologicznej informacje obejmujące imiona i nazwiska mieszkańców, numery telefonów, adresy pobytu oraz dane wskazujące na objęcie określonych osób kwarantanną lub izolacją. Celem przetwarzania było organizowanie pomocy, w tym dostarczanie żywności, leków oraz wsparcia dla osób pozostających w odosobnieniu.
Zaangażowanie koordynatora działań pomocowych: Administrator upoważnił pracownika do wykonywania czynności związanych z koordynacją pomocy. Osoba ta odpowiadała za współpracę z podmiotami wspierającymi działania jednostki, w tym ochotniczą strażą pożarną. W związku z wykonywanymi obowiązkami pracownik posiadał dostęp do danych mieszkańców objętych kwarantanną i izolacją.
Utworzenie i przechowywanie pliku zawierającego dane osobowe: W toku realizacji zadań został utworzony arkusz kalkulacyjny zawierający dane mieszkańców. Plik obejmował między innymi imiona, nazwiska, numery telefonów, adresy pobytu oraz informacje pozwalające ustalić fakt objęcia danej osoby kwarantanną lub izolacją. Zakres danych powodował, że naruszenie mogło prowadzić do ujawnienia informacji dotyczących zdrowia osób fizycznych.
Umieszczenie danych na prywatnym serwerze: Kluczowym momentem całego zdarzenia było pojawienie się pliku na prywatnym serwerze pracownika. Organ nie ustalił jednoznacznie mechanizmu, w jaki sposób plik został umieszczony na serwerze, jednak bezsporne było, że znalazł się w lokalizacji dostępnej z poziomu internetu. Serwer wykorzystywany był do prowadzenia prywatnej strony internetowej i zawierał katalog przeznaczony do przechowywania publikowanych plików.
Indeksacja przez wyszukiwarkę internetową: Katalog, w którym znajdował się arkusz kalkulacyjny, nie był chroniony przed robotami indeksującymi. W wyniku standardowego działania wyszukiwarki internetowej zawartość pliku została pobrana, zaindeksowana oraz udostępniona w wynikach wyszukiwania. Oznaczało to, że użytkownicy internetu mogli odnaleźć plik oraz zapoznać się z jego treścią. Doszło tym samym do utraty poufności danych osobowych.
Zakres ujawnionych informacji: Upublicznione dane obejmowały informacje identyfikacyjne, kontaktowe oraz dane pozwalające ustalić status epidemiczny konkretnych osób. W praktyce ujawnienie takich informacji mogło prowadzić do stygmatyzacji, naruszenia prywatności, dyskryminacji społecznej lub innych negatywnych konsekwencji dla mieszkańców. Skala zagrożenia była szczególnie wysoka ze względu na charakter danych związanych ze zdrowiem.
Uzyskanie informacji o incydencie: Prezes UODO otrzymał informację o możliwym naruszeniu od osoby, która odnalazła plik w przestrzeni internetowej. Do zgłoszenia dołączono kopię dokumentu oraz informacje umożliwiające zweryfikowanie, że plik jest publicznie dostępny. Dopiero na skutek tej informacji organ dowiedział się o incydencie.
Usunięcie pliku po ujawnieniu zdarzenia: Po otrzymaniu informacji o możliwym incydencie pracownik usunął plik z prywatnego serwera. Działanie to ograniczyło dalszą ekspozycję danych, nie zmieniało jednak faktu, że wcześniej informacje zostały już zindeksowane oraz mogły zostać pobrane przez osoby nieuprawnione.
Postępowanie wyjaśniające administratora: Po uzyskaniu wiedzy o zdarzeniu kierownictwo jednostki przeanalizowało sprawę i przyjęło stanowisko, że nie jest administratorem danych objętych incydentem. W konsekwencji administrator nie podjął działań przewidzianych przez RODO dla przypadków naruszenia ochrony danych osobowych.
Brak zgłoszenia naruszenia do Prezesa UODO: Pomimo utraty poufności danych administrator nie zgłosił incydentu organowi nadzorczemu. Prezes UODO uznał to za odrębne naruszenie art. 33 RODO. Organ podkreślił, że charakter ujawnionych informacji jednoznacznie wskazywał na konieczność dokonania oceny ryzyka oraz rozważenia obowiązku zgłoszenia naruszenia.
Brak zawiadomienia osób, których dane dotyczą: Jednostka nie poinformowała również osób objętych incydentem o ujawnieniu ich danych. W ocenie Prezesa UODO osoby te powinny zostać powiadomione o naruszeniu, ponieważ utrata poufności mogła prowadzić do wysokiego ryzyka naruszenia ich praw i wolności. Dotyczyło to szczególnie ujawnienia informacji związanych ze zdrowiem oraz sytuacją epidemiczną.
Ocena analizy ryzyka przez organ nadzorczy: W toku postępowania organ nadzorczy zbadał dokumentację dotyczącą oceny ryzyka. Chociaż administrator wskazywał, że ryzyko związane z przetwarzaniem jest wysokie, dokumentacja nie pozwalała ustalić sposobu dojścia do tych wniosków. Brakowało pełnej identyfikacji zagrożeń, podatności oraz oceny potencjalnych skutków dla osób fizycznych. Organ uznał, że analiza miała charakter formalny i nie stanowiła rzeczywistej podstawy do doboru adekwatnych zabezpieczeń.
Konsekwencje decyzji Prezesa UODO: Prezes UODO stwierdził naruszenie obowiązków dotyczących bezpieczeństwa przetwarzania, ochrony danych w fazie projektowania, rozliczalności, zgłaszania naruszeń oraz zawiadamiania osób, których dane dotyczą. W rezultacie nałożono administracyjną karę pieniężną w wysokości 13 200 PLN oraz nakazano poinformowanie osób objętych incydentem o naruszeniu ochrony ich danych osobowych.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

Przeprowadzanie rzeczywistych, a nie wyłącznie formalnych analiz ryzyka: Analiza ryzyka powinna identyfikować konkretne zagrożenia, podatności, możliwe scenariusze naruszeń oraz ich skutki dla osób fizycznych. Dokument nie może ograniczać się do ogólnych stwierdzeń. Szczególną uwagę należy poświęcać procesom obejmującym dane dotyczące zdrowia lub inne szczególne kategorie danych.
Zakaz wykorzystywania prywatnej infrastruktury do przetwarzania danych służbowych: Organizacje powinny jednoznacznie określić zasady korzystania z urządzeń, serwerów oraz usług chmurowych. Dane osobowe przetwarzane w ramach działalności administratora powinny znajdować się wyłącznie w środowiskach zatwierdzonych i kontrolowanych przez organizację.
Wdrożenie zasad privacy by design i privacy by default: Procesy przetwarzania danych należy projektować w taki sposób, aby ryzyko nieuprawnionego ujawnienia było minimalizowane już na etapie planowania. Oznacza to między innymi kontrolę lokalizacji danych, ograniczenie możliwości ich kopiowania oraz stosowanie domyślnych zabezpieczeń uniemożliwiających publiczne udostępnianie plików.
Szczególna ochrona danych dotyczących zdrowia: Przetwarzanie informacji o stanie zdrowia powinno być objęte dodatkowymi środkami bezpieczeństwa. W praktyce może to obejmować szyfrowanie, segmentację dostępu, rejestrowanie operacji na danych oraz częstsze kontrole zgodności.
Regularna weryfikacja uprawnień i sposobów pracy użytkowników: Należy systematycznie kontrolować, czy osoby posiadające dostęp do danych wykorzystują wyłącznie zatwierdzone narzędzia oraz procedury. Samo wydanie upoważnienia do przetwarzania danych nie jest wystarczające.
Wdrożenie procedur wykrywania i obsługi naruszeń: Każda organizacja powinna posiadać procedurę umożliwiającą szybkie ustalenie, czy doszło do naruszenia ochrony danych, ocenę poziomu ryzyka oraz podjęcie decyzji o zgłoszeniu incydentu do Prezesa UODO i zawiadomieniu osób, których dane dotyczą.
Szkolenia pracowników z zakresu cyberbezpieczeństwa: Pracownicy powinni rozumieć ryzyka związane z publikowaniem plików, korzystaniem z prywatnych zasobów informatycznych oraz przechowywaniem danych w środowiskach dostępnych z internetu. Szkolenia powinny obejmować praktyczne scenariusze odnoszące się do codziennej pracy.
Audyty bezpieczeństwa i kontrole zgodności: Organizacje powinny regularnie weryfikować skuteczność wdrożonych zabezpieczeń poprzez audyty ochrony danych oraz testy bezpieczeństwa środowisk informatycznych. Szczególnie istotne jest identyfikowanie przypadków nieautoryzowanego wykorzystywania prywatnych zasobów do celów służbowych.
Zapewnienie rozliczalności wszystkich operacji przetwarzania: Administrator powinien być w stanie wykazać nie tylko istnienie procedur, lecz również ich skuteczne funkcjonowanie. Dokumentacja, analiza ryzyka, rejestry czynności przetwarzania oraz dowody realizacji działań zabezpieczających powinny tworzyć spójny system zarządzania ochroną danych.
Budowanie kultury bezpieczeństwa informacji: Najskuteczniejszą ochronę zapewniają nie pojedyncze dokumenty, lecz kultura organizacyjna oparta na świadomości zagrożeń. Pracownicy muszą rozumieć, że dane dotyczące zdrowia, pomocy społecznej czy sytuacji życiowej obywateli należą do informacji wymagających szczególnej ochrony i najwyższego poziomu poufności.