KOMPAS FORSAFE 2026/47

Podstawa prawna naruszenia

Art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 25 ust. 1, art. 28 ust. 1, art. 32 ust. 1 i 2 RODO.

Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.

Przyczyna naruszenia

Kara nie została nałożona za samą kradzież laptopa, lecz za to, że żadna ze stron nie zabezpieczyła danych na wypadek takiego zdarzenia. Urząd nie przeprowadził analizy ryzyka dla zadania zleconego innej jednostce i nigdy nie sprawdził, jak ta jednostka chroni dane. Założył, że skoro jest to podmiot wyspecjalizowany, to wszystko musi być w porządku. Wykonawca z kolei w swojej analizie ryzyka sam wpisał zagrożenie „kradzież danych poza miejscem przetwarzania”, ale nie wprowadził szyfrowania dysków, opierając bezpieczeństwo na zakazie wynoszenia sprzętu. Zakaz ten został złamany przez pracownika.

Opis wydarzeń

Kradzież laptopa z samochodu: 22 stycznia 2023 r. z bagażnika samochodu zaparkowanego na podziemnym parkingu skradziono służbowy laptop pracownika jednostki wykonującej prace scaleniowe. Pracownik pozostawił sprzęt bez nadzoru. Dysk laptopa nie był zaszyfrowany.
Zakres danych: Imiona i nazwiska, imiona rodziców, daty urodzenia, adresy, numery PESEL, serie i numery dowodów osobistych oraz numery ksiąg wieczystych właścicieli gruntów. Starostwo oceniło, że doszło do utraty poufności tych danych. UODO zwrócił natomiast uwagę, że numer PESEL w połączeniu z imieniem i nazwiskiem pozwala jednoznacznie zidentyfikować osobę i może umożliwić kradzież tożsamości.
Zgłoszenie naruszenia: Starostwo zgłosiło naruszenie do UODO 26 stycznia 2023 r. Zgłoszenie stało się jednak dla UODO punktem wyjścia do sprawdzenia, czy starostwo oraz wykonawca wdrożyli odpowiedni system ochrony danych. Postępowanie nie dotyczyło więc samej kradzieży, lecz tego, co powinno zostać zrobione wcześniej.
Role w naruszeniu: Starostwo było administratorem danych, a wykonawcy powierzono przetwarzanie danych na podstawie umowy z 21 stycznia 2022 r. Umowa była poprawnie skonstruowana i zawierała zapis przyznający starostwu prawo do przeprowadzania audytów u wykonawcy. Starostwo jednak nigdy z tego uprawnienia nie skorzystało.
Brak analizy ryzyka: Starostwo nie przeprowadziło analizy ryzyka, tłumacząc to tym, że jego pracownicy nie pracują zdalnie i nie wynoszą laptopów poza budynek. Tymczasem zlecone zadanie ze swojej natury było realizowane w terenie. Starostwo nie sprawdziło również, czy wykonawca przeprowadził analizę ryzyka, poprzestając wyłącznie na jego zapewnieniach.
Analiza ryzyka wykonawcy: Wykonawca w swojej analizie ryzyka wskazał wprost zagrożenie „kradzieży danych osobowych poza miejscem przetwarzania” i potwierdził, że dotyczy ono również komputerów przenośnych. Jako zabezpieczenie wskazał jednak wyłącznie ogólne środki organizacyjne, bez zastosowania szyfrowania. UODO uznał, że rozpoznanie zagrożenia bez wdrożenia odpowiednich zabezpieczeń stanowiło rażące niedbalstwo.
Brak zabezpieczenia laptopa: Obie strony argumentowały, że dane były chronione, ponieważ dostęp do programu branżowego wymagał zastosowania zabezpieczeń. UODO uznał ten argument za nieistotny, wskazując, że na komputerze mogą znajdować się dane zapisane poza programem, np. w zrzutach ekranu, plikach roboczych czy eksportach danych. W konsekwencji organ nadzorczy uznał, że zabezpieczenie programu nie zapewnia ochrony całego dysku.
Rola pracownika: Obie strony podkreślały, że pracownik naruszył obowiązujące zasady, ponieważ nie miał zgody na wyniesienie sprzętu. UODO uznał jednak, że ryzyko nieprzestrzegania procedur przez pracownika należało przewidzieć już na etapie analizy ryzyka i wdrożyć odpowiednie zabezpieczenia na taką ewentualność.
Brak weryfikacji wykonawcy: Starostwo nie zweryfikowało wykonawcy ani przed podpisaniem umowy, ani w trakcie współpracy. Tłumaczyło to wieloletnią współpracą bez zastrzeżeń oraz faktem, że wykonawca był „jednostką wysoko wyspecjalizowaną”. UODO odrzucił ten argument, wskazując, że specjalizacja kontrahenta oraz podpisana umowa nie zastępują weryfikacji, a obowiązek jej przeprowadzania trwa przez cały okres współpracy i nie kończy się na podpisaniu umowy.
Audyt sprzętu: Wykonawca przedstawił protokoły okresowych przeglądów komputerów, drukarek, routerów i innych urządzeń. UODO nie zakwestionował tych działań, ale wskazał, że nikt nie weryfikował, czy pracownicy rzeczywiście przestrzegają obowiązujących zasad, tj. czy laptopy pozostają pod nadzorem, czy nie są wynoszone bez zgody oraz czy nie są pozostawiane bez opieki. Kontrolowano sprzęt, ale nie kontrolowano przestrzegania procedur przez pracowników.
Szyfrowanie laptopów: Po incydencie wykonawca zaszyfrował dyski laptopów, zaktualizował analizę ryzyka oraz przeprowadził kontrole wewnętrzne i szkolenia. Starostwo natomiast przekazało wykonawcy listę kontrolną oraz zorganizowało szkolenia dla swoich pracowników.
Czas trwania naruszenia: UODO uznał, że naruszenie trwało niemal dwa lata – od dnia zawarcia umowy powierzenia, tj. 21 stycznia 2022 r., do grudnia 2023 r., kiedy zakończono wdrażanie odpowiednich zabezpieczeń. Tak długi okres został uznany za istotną okoliczność obciążającą.
Ocena organu nadzorczego: UODO nałożył na administratora administracyjną karę pieniężną w wysokości 21 000 zł.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

Szyfrowanie dysków laptopów i nośników przenośnych: Należy zapewnić szyfrowanie wszystkich laptopów oraz nośników przenośnych wykorzystywanych do przetwarzania danych osobowych. W przypadku utraty lub kradzieży urządzenia szyfrowanie znacząco ogranicza ryzyko nieuprawnionego dostępu do danych.
Weryfikacja skuteczności obowiązujących zasad: Samo ustanowienie zakazów lub procedur nie stanowi wystarczającego zabezpieczenia. Powinny zostać określone mechanizmy kontroli przestrzegania zasad oraz działania podejmowane w przypadku ich naruszenia.
Uwzględnianie błędów ludzkich w analizie ryzyka: Analiza ryzyka powinna obejmować realne scenariusze związane z nieprzestrzeganiem procedur, takie jak pozostawienie sprzętu bez nadzoru, przechowywanie danych poza systemem czy brak blokady ekranu. Dla każdego scenariusza należy przewidzieć odpowiednie środki bezpieczeństwa.
Przeprowadzanie analizy ryzyka dla procesów powierzonych: W przypadku powierzania przetwarzania danych należy ocenić sposób realizacji powierzonych zadań, stosowane zabezpieczenia oraz ryzyka związane z przetwarzaniem danych przez podmiot przetwarzający.
Regularna weryfikacja podmiotów przetwarzających: Weryfikacja powinna być realizowana zarówno przed rozpoczęciem współpracy, jak i okresowo w trakcie jej trwania. Wieloletnia współpraca nie zwalnia z obowiązku oceny stosowanych środków bezpieczeństwa.
Dokumentowanie procesu weryfikacji kontrahentów: Należy gromadzić dokumentację potwierdzającą przeprowadzenie oceny podmiotu przetwarzającego, np. ankiety bezpieczeństwa, wyniki audytów, informacje o certyfikatach czy dokumentację dotyczącą analizy ryzyka.
Kontrola przestrzegania procedur przez pracowników: Weryfikacja powinna obejmować nie tylko stan techniczny urządzeń, ale również sposób stosowania obowiązujących zasad przez osoby przetwarzające dane.
Planowanie i dokumentowanie działań kontrolnych: Warto opracować harmonogram regularnych kontroli określający zakres, częstotliwość, odpowiedzialności oraz sposób dokumentowania wyników.
Nadzór nad sprzętem przenośnym: Powinna być prowadzona ewidencja sprzętu, dokumentacja jego wydawania oraz procedury postępowania na wypadek utraty lub kradzieży urządzeń.
Określenie wymagań technicznych w umowach powierzenia: Umowy powierzenia powinny zawierać konkretne wymagania dotyczące bezpieczeństwa, takie jak obowiązek szyfrowania urządzeń, zasady uwierzytelniania, terminy zgłaszania incydentów czy obowiązki związane z korzystaniem z podwykonawców.
Regularne szkolenia personelu: Szkolenia zwiększają świadomość zagrożeń i ograniczają liczbę błędów, jednak powinny stanowić element uzupełniający wobec technicznych i organizacyjnych środków bezpieczeństwa.
Gotowość do wykazania zgodności po zgłoszeniu naruszenia: Należy zapewnić możliwość szybkiego przedstawienia dokumentacji potwierdzającej przeprowadzenie analizy ryzyka, wdrożenie zabezpieczeń, realizację kontroli oraz weryfikację podmiotów przetwarzających.
Dokumentowanie działań naprawczych: Po wystąpieniu incydentu warto prowadzić ewidencję podjętych działań naprawczych wraz z terminami realizacji, osobami odpowiedzialnymi oraz dowodami ich wykonania.
Integracja wymagań z systemami zarządzania bezpieczeństwem: W organizacjach objętych wymaganiami NIS2, ISO 27001 lub podobnymi regulacjami warto stosować jednolite podejście do zarządzania ryzykiem, nadzoru nad dostawcami oraz oceny skuteczności zabezpieczeń.