Prezes UODO nałożył na administratora prowadzącego kancelarię podatkową karę w wysokości 11 594 zł za brak zabezpieczeń danych osobowych. Sprawa dotyczyła przejęcia skrzynki e-mail pracownika, na której przetwarzano dane 111 podmiotów – klientów, ich pracowników oraz dzieci zgłoszonych do ubezpieczenia zdrowotnego. Co istotne, kara nie została nałożona za sam fakt wycieku, lecz za to, że administrator nie wdrożył wcześniej odpowiednich środków technicznych i organizacyjnych wymaganych przez RODO.
Spis treści
Geneza sprawy: przejęcie konta pocztowego z danymi 111 osób
Administrator zgłosił Prezesowi UODO naruszenie ochrony danych osobowych polegające na uzyskaniu przez nieuprawniony podmiot dostępu do konta e-mail jednego z pracowników. W przejętej skrzynce przetwarzano łącznie dane osobowe ponad stu podmiotów danych. Zgłoszenie stało się impulsem do szerszej oceny tego, jak administrator realizował obowiązki RODO w zakresie zabezpieczenia danych i organizacji systemu ochrony danych w obszarze komunikacji elektronicznej.
Argumentacja administratora: brak dowodu na pozyskanie danych osobowych
Kancelaria tłumaczyła, że choć osoba nieuprawniona wysłała wiadomość z przejętego konta, nie ma dowodu na to, że pozyskała przechowywane tam dane. Pracownik korzystał ze skrzynki sporadycznie, a jej zablokowanie nastąpiło dopiero wtedy, gdy dostawca usługi hostingowej uruchomił mechanizm zabezpieczający przed wysyłaniem spamu. Administrator nie był w stanie ustalić, kiedy dokładnie doszło do przejęcia konta ani jak długo trwał nieuprawniony dostęp – nie miał dostępu do logów ani innych środków, które pozwoliłyby to zweryfikować.
Dlaczego UODO nie zgodził się z tym argumentem
Prezes UODO nie przyjął tej linii obrony. Brak logów i brak możliwości ustalenia zakresu incydentu nie działają na korzyść administratora – to właśnie brak takich narzędzi jest jednym z objawów niewystarczających zabezpieczeń, a nie okolicznością łagodzącą. Skoro administrator sam nie potrafił wykluczyć pobrania danych, nie mógł też skutecznie argumentować, że do tego nie doszło.
Czym jest naruszenie ochrony danych osobowych według RODO
Zgodnie z RODO naruszenie ochrony danych osobowych oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Sam nieuprawniony dostęp do skrzynki e-mail wypełnia tę definicję – niezależnie od tego, czy da się dowodowo potwierdzić pobranie konkretnych danych. Brak dowodu na pozyskanie danych nie oznacza więc, że naruszenia nie było.
Jakich zabezpieczeń danych osobowych zabrakło przed naruszeniem
Brak analizy ryzyka RODO i polityki bezpieczeństwa informacji
Przed stwierdzeniem naruszenia administrator nie posiadał odrębnych regulacji dotyczących ochrony danych osobowych i nie przeprowadzał analizy ryzyka dla procesu przetwarzania danych za pośrednictwem systemów objętych naruszeniem, w tym poczty elektronicznej. Innymi słowy – nie istniał żaden dokument, który wskazywałby, jakie zagrożenia wiążą się z korzystaniem ze skrzynek pracowniczych i jakie środki powinny je minimalizować. Rzetelna dokumentacja RODO powinna obejmować właśnie takie procesy – nie tylko formalny rejestr czynności przetwarzania.
Brak regularnego testowania zabezpieczeń technicznych
Zabezpieczenia, jakie funkcjonowały w kancelarii, nie były regularnie testowane, a ich skuteczność nie była w żaden sposób oceniana. To sprawiło, że administrator nie miał rzeczywistej wiedzy o stanie ochrony danych – aż do momentu, w którym incydent wykrył za niego dostawca hostingu, blokując skrzynkę z powodu wysyłania spamu.
Czy działania naprawcze po naruszeniu chronią przed karą RODO
Już w trakcie postępowania prowadzonego przez Prezesa UODO administrator podjął działania mające realizować wymogi RODO: przeprowadził analizę ryzyka, wdrożył Politykę Bezpieczeństwa Informacji oraz inne regulacje, a także przeprowadził audyt infrastruktury informatycznej. To w praktyce pełne wdrożenie RODO od podstaw – tylko wykonane po incydencie, a nie przed nim. Działania te nie uchroniły jednak przed karą finansową – zostały podjęte zbyt późno, by wpłynąć na ocenę stanu zabezpieczeń w momencie wystąpienia naruszenia. Mogły natomiast wpłynąć na wysokość kary, która – biorąc pod uwagę skalę sprawy (dane 111 podmiotów) – nie była maksymalna.
Dlaczego RODO karze standard zabezpieczeń, a nie sam incydent
To sedno tej decyzji: sankcji administracyjnej podlega nie ten, kto dopuścił do nieuprawnionego przetwarzania danych osobowych, ale ten, kto nie dochował odpowiedniego, w danych okolicznościach, standardu środków bezpieczeństwa. Nawet gdyby udało się dowodowo wykluczyć pobranie danych przez nieuprawnioną osobę, administrator i tak odpowiadałby za to, że przed incydentem nie miał wdrożonych podstawowych mechanizmów ochrony – analizy ryzyka, polityki bezpieczeństwa i testowania zabezpieczeń.
To rozróżnienie ma ogromne znaczenie praktyczne. Wiele firm błędnie zakłada, że skoro nie doszło do udowodnionej szkody, unikają odpowiedzialności prawnej. Ta sprawa pokazuje, że UODO ocenia coś innego – czy administrator zrobił wcześniej to, co powinien zrobić, żeby do naruszenia w ogóle nie doszło albo żeby móc je szybko wykryć i ocenić jego zakres. Jeśli nie masz pewności, czy Twoja firma spełnia ten standard, warto zweryfikować to podczas konsultacji w ramach doradztwa RODO.
Jak zabezpieczyć dane osobowe przetwarzane przez e-mail - wnioski dla firm
Poczta elektroniczna jest jednym z najczęstszych kanałów przetwarzania danych osobowych w małych i średnich firmach – kancelariach, biurach rachunkowych, gabinetach czy sklepach internetowych. Z tej decyzji wynika kilka konkretnych wniosków:
- Analiza ryzyka powinna obejmować pocztę elektroniczną jako realny kanał przetwarzania danych osobowych, a nie ograniczać się jedynie do systemów księgowych czy CRM.
- Polityka bezpieczeństwa informacji powinna zostać wdrożona przed wystąpieniem incydentu, a nie opracowana w odpowiedzi na postępowanie prowadzone przez UODO.
- Skuteczność zabezpieczeń wymaga regularnego testowania, ponieważ jednorazowe wdrożenie środków ochrony nie gwarantuje ich trwałej efektywności.
- Brak logów systemowych oraz brak możliwości ustalenia zakresu incydentu są oceniane na niekorzyść administratora – stanowią dowód niewystarczających zabezpieczeń, a nie okoliczność łagodzącą.
- Szybka reakcja po wystąpieniu incydentu może wpłynąć na wymiar kary, jednak nie zwalnia administratora z odpowiedzialności za wcześniejsze zaniedbania w zakresie zabezpieczeń.
Firmy, które nie mają pewności, czy obecne zabezpieczenia poczty elektronicznej i innych systemów spełniają wymogi RODO, powinny zweryfikować to poprzez audyt RODO obejmujący infrastrukturę IT – zanim nieprawidłowości ujawni incydent bezpieczeństwa, tak jak w opisywanej sprawie.
Podsumowanie
Ta decyzja UODO to praktyczna lekcja na temat tego, czym różni się posiadanie zabezpieczeń od ich rzeczywistego wdrożenia i testowania. Kancelaria podatkowa nie została ukarana za sam fakt przejęcia skrzynki pocztowej, ale za to, że przed incydentem nie miała analizy ryzyka, polityki bezpieczeństwa informacji ani mechanizmów pozwalających wykryć i ocenić zakres naruszenia. Działania naprawcze podjęte po fakcie – choć wartościowe – nie zastąpiły tego, co powinno być gotowe wcześniej.
Zabezpieczenie poczty elektronicznej to jeden z wielu obszarów, które składają się na rzeczywistą, a nie jedynie deklaratywną zgodność z RODO. Organizacje, które chcą uniknąć podobnych konsekwencji, powinny mieć udokumentowaną analizę ryzyka, aktualną politykę bezpieczeństwa informacji oraz regularnie testowane zabezpieczenia techniczne – najlepiej zanim ich brak ujawni incydent. W Ratio-Go prowadzimy klientów przez ten proces: od audytu obecnego stanu, przez opracowanie i wdrożenie niezbędnej dokumentacji, po dalsze doradztwo w zakresie ochrony danych osobowych. Skontaktuj się z nami!
FAQ - Najczęściej zadawane pytania
Czy brak dowodu na pobranie danych chroni przed karą RODO?
Nie, brak dowodu na pobranie danych nie chroni przed karą. Zgodnie z RODO naruszeniem ochrony danych jest już sam nieuprawniony dostęp do danych osobowych, niezależnie od tego, czy udało się potwierdzić ich faktyczne pozyskanie.
Za co konkretnie karze Prezes UODO - za wyciek czy za brak zabezpieczeń?
Prezes UODO karze przede wszystkim za niedochowanie odpowiedniego standardu środków bezpieczeństwa, a nie za sam fakt wystąpienia incydentu. Administrator odpowiada za to, że nie wdrożył wymaganych zabezpieczeń, niezależnie od skali rzeczywistej szkody.
Czy wdrożenie zabezpieczeń po incydencie zmniejsza karę RODO?
Tak, działania naprawcze podjęte po incydencie – takie jak analiza ryzyka, wdrożenie polityki bezpieczeństwa czy audyt infrastruktury – mogą wpłynąć na wysokość kary, ale nie eliminują odpowiedzialności za wcześniejsze zaniedbania w zabezpieczeniach.
Jakie środki bezpieczeństwa powinna mieć firma przetwarzająca dane przez e-mail?
Firma przetwarzająca dane przez e-mail powinna mieć analizę ryzyka obejmującą pocztę elektroniczną, politykę bezpieczeństwa informacji, regularnie testowane zabezpieczenia techniczne oraz dostęp do logów pozwalających ustalić zakres ewentualnego incydentu.
Czy brak logów systemowych może być podstawą kary RODO?
Tak, brak logów i innych mechanizmów pozwalających ustalić zakres incydentu jest traktowany jako dowód niewystarczających zabezpieczeń, a nie jako okoliczność łagodząca odpowiedzialność administratora.
Ile może wynieść kara za brak zabezpieczeń danych osobowych?
Wysokość kary zależy od okoliczności konkretnej sprawy, w tym skali naruszenia i działań naprawczych administratora. W opisywanej sprawie, dotyczącej danych 111 podmiotów, kara wyniosła 11 594 zł, a maksymalny wymiar kar RODO może sięgać nawet 20 mln euro.
