Podstawa prawna naruszenia

Art. 32 ust. 1 i 2 w zw. z art. 28 ust. 4 RODO.

Niewystarczające środki techniczne i organizacyjne zapewniające bezpieczeństwo informacji.

Przyczyna naruszenia

Naruszenie wynikało z niedokonania przez żadnego z czterech uczestników procesu przetwarzania (administratora oraz trzech kolejnych podmiotów przetwarzających) analizy ryzyka związanego z pracą handlowców w systemie sprzedaży bezpośredniej door-to-door. Nie przewidziano ryzyka, że osoby wypełniające ręcznie papierowe umowy w domach klientów będą dążyły do „usprawnienia” sobie pracy przy użyciu niezaakceptowanych narzędzi elektronicznych. Konsekwencją braku analizy ryzyka był brak wdrożenia adekwatnych środków bezpieczeństwa oraz brak mechanizmów regularnego testowania i weryfikacji ich skuteczności na żadnym poziomie łańcucha powierzenia.

Opis wydarzeń

1. Struktura wielopoziomowego łańcucha powierzenia: Administrator prowadzący sprzedaż energii elektrycznej w kanale D2D zbudował sieć sprzedaży opartą na kaskadowym powierzeniu przetwarzania danych: administrator powierzał dane dwóm agentom, którzy z kolei dalej powierzali przetwarzanie sub-agentowi zatrudniającemu handlowców. Każdy z czterech podmiotów podlegał obowiązkom wynikającym z art. 32RODO, niezależnie od pozycji w łańcuchu.
2. Wykorzystanie niezautoryzowanej aplikacji do przetwarzania danych klientów: Od lipca 2020 r. pracownicy sub-agenta, bez zgody i wiedzy administratora oraz agentów, zaczęli wykorzystywać popularny komunikator internetowy do wzajemnego przesyłania zdjęć i skanów umów oraz zrzutów ekranu zawierających dane klientów (imię, nazwisko, adres, numer PESEL, adres e-mail, numer telefonu, numer punktu poboru energii). Aplikacja umożliwiała automatyczne zapisywanie załączników w pamięci telefonu oraz przechowywała historię korespondencji.
3. Przypadkowe wykrycie naruszenia: Nieprawidłowość ujawniono w marcu 2021 r. w okolicznościach niezwiązanych bezpośrednio z kontrolą bezpieczeństwa danych. Zgłosił ją były pracownik sub-agenta, dochodzący od byłego pracodawcy zaległego wynagrodzenia, okazując przedstawicielom administratora zrzut ekranu z prywatnego telefonu. Wykazało to, że osoby, które utraciły upoważnienie do przetwarzania danych, nadal zachowywały do nich dostęp.
4. Brak kontroli nad usuwaniem danych po zakończeniu współpracy: Ustalono, że sub-agent nie weryfikował, czy wszyscy byli pracownicy trwale usunęli dane klientów ze swoich prywatnych urządzeń po zakończeniu współpracy. W konsekwencji dane mogły pozostawać na prywatnym sprzęcie nawet po ustaniu stosunku pracy, a jeden z byłych pracowników przekazał je dziennikarzowi radiowemu, co doprowadziło do publikacji artykułu opisującego nieprawidłowości.
5. Niespójne i zmieniające się wyjaśnienia sub-agenta: W toku wieloletniego postępowania sub-agent wielokrotnie zmieniał swoje stanowisko co do okoliczności korzystania z aplikacji. Raz twierdząc, że była ona zaakceptowana przez administratora, innym razem, że nie miał wiedzy o jej wykorzystywaniu do przetwarzania danych klientów. UODO uznał te wyjaśnienia za częściowo niewiarygodną próbę przerzucenia odpowiedzialności na inne podmioty.
6. Brak analizy ryzyka i testowania środków bezpieczeństwa u wszystkich uczestników: Żaden z czterech podmiotów nie przeprowadził analizy ryzyka uwzględniającej specyfikę pracy w terenie ani nie wdrożył mechanizmów regularnego testowania, mierzenia i oceniania skuteczności zastosowanych zabezpieczeń, mimo że były to obowiązki spoczywające zarówno na administratorze, jak i na każdym podmiocie przetwarzającym w łańcuchu.
7. Zróżnicowanie odpowiedzialności i sankcji. UODO zastosował upomnienie wobec administratora oraz obu agentów, uznając brak umyślności oraz podjęte przez administratora działania naprawcze (zmiana procesu sprzedaży, wprowadzenie tabletów zamiast dokumentów papierowych) za okoliczności łagodzące. Wobec sub-agenta, jako inicjatora nieprawidłowości i podmiotu składającego niespójne wyjaśnienia, nałożono administracyjną karę pieniężną, obniżoną jednak istotnie z uwagi na niewielki obrót przedsiębiorcy oraz podjęte przez niego działania naprawcze bezpośrednio po ujawnieniu naruszenia (nakazanie usunięcia danych z urządzeń pracowników). Finalnie kara wynosiła 10 145 zł.

Źródło

Pełna treść decyzji organu nadzorczego

Aby uniknąć podobnych naruszeń, zalecamy:

1. Przeprowadzanie analizy ryzyka przez każdy podmiot w łańcuchu powierzenia: Analiza ryzyka nie powinna być traktowana jako jednorazowy obowiązek administratora. Każdy podmiot przetwarzający, niezależnie od pozycji w łańcuchu, jest zobowiązany do samodzielnej oceny ryzyk związanych z powierzonym mu przetwarzaniem, a w uzasadnionych przypadkach do konsultacji z pozostałymi uczestnikami procesu.
2. Uwzględnianie specyfiki pracy w terenie w ocenie ryzyka: Procesy przetwarzania danych realizowane poza siedzibą organizacji, np. w sprzedaży bezpośredniej, obsłudze mobilnej czy pracy zdalnej, wymagają szczególnej analizy zagrożeń związanych z wykorzystaniem prywatnego sprzętu oraz nieautoryzowanych narzędzi komunikacji.
3. Jednoznaczny zakaz wykorzystywania nieautoryzowanych narzędzi w umowach powierzenia: Umowy powierzenia przetwarzania danych osobowych powinny wprost zakazywać stosowania jakichkolwiek aplikacji, komunikatorów i urządzeń niezaakceptowanych przez administratora, a zakaz ten powinien być wzmocniony odpowiednimi szkoleniami i komunikatami kierowanymi do pracowników wykonujących czynności operacyjne.
4. Regularne testowanie i weryfikacja skuteczności środków bezpieczeństwa: Administratorzy i podmioty przetwarzające powinny wdrożyć cykliczny proces testowania, mierzenia i oceniania zabezpieczeń, dokumentując te działania zgodnie z zasadą rozliczalności, a nie poprzestawać na deklaracjach słownych ze strony dalszych podmiotów przetwarzających.
5. Aktywna weryfikacja dalszych podmiotów przetwarzających: Obowiązek wynikający z art. 28 ust. 1 RODO ma charakter ciągły i nie może być scedowany wyłącznie na pośredni szczebel łańcucha powierzenia. Administrator powinien posiadać własne mechanizmy weryfikacji gwarancji udzielanych przez dalsze podmioty przetwarzające, w tym poprzez audyty i inspekcje.
6. Wdrożenie procedur zwrotu i usuwania danych po zakończeniu współpracy: Konieczne jest zapewnienie mechanizmów kontrolujących, czy osoby kończące współpracę faktycznie usunęły powierzone im dane osobowe ze wszystkich wykorzystywanych urządzeń, w tym prywatnych, wraz z odpowiednią dokumentacją potwierdzającą wykonanie tego obowiązku.
7. Konsultacje między uczestnikami łańcucha przetwarzania przy zmianach w procesie: Wprowadzanie nowych narzędzi lub sposobów przetwarzania danych powinno być poprzedzone konsultacją między wszystkimi podmiotami uczestniczącymi w procesie, aby umożliwić identyfikację zagrożeń dostrzeganych z różnych perspektyw operacyjnych.

Jeśli potrzebujesz wsparcia w zakresie ochrony danych osobowych, zapraszamy do kontaktu