Prezes UODO nałożył dwie kary administracyjne – na Starostę Powiatu Lubartowskiego jako administratora oraz na Wojewódzkie Biuro Geodezji i Urządzania Terenów Rolnych w Lublinie jako podmiot przetwarzający. Przyczyną była kradzież służbowego laptopa pracownika Biura, na którym przetwarzano dane osobowe ok. 700 osób – imiona, nazwiska, daty urodzenia, adresy, numery PESEL, numery dowodów osobistych i numery ksiąg wieczystych. Sprawa jasno pokazuje, że za ochronę danych osobowych odpowiadają obie strony procesu przetwarzania, nie tylko administrator.
Spis treści
Okoliczności sprawy: kradzież laptopa z danymi ok. 700 osób
W 2023 r. Starosta zgłosił Prezesowi UODO naruszenie ochrony danych osobowych na skutek kradzieży służbowego laptopa jednego z pracowników Wojewódzkiego Biura Geodezji. Zgłoszenie wskazywało na utratę poufności danych osobowych ok. 700 osób. To zgłoszenie stało się impulsem do przeprowadzenia przez organ nadzorczy oceny, czy administrator i podmiot przetwarzający rzeczywiście wdrożyli adekwatne środki bezpieczeństwa gwarantujące bezpieczeństwo przetwarzania.
Za co UODO ukarało administratora danych osobowych
Brak wdrożonych środków technicznych i organizacyjnych RODO
Prezes UODO stwierdził, że naruszenie RODO przez administratora polegało między innymi na niewdrożeniu odpowiednich środków technicznych i organizacyjnych, które mogłyby zapobiec utracie poufności danych w sytuacji kradzieży sprzętu.
Brak weryfikacji podmiotu przetwarzającego przed powierzeniem danych osobowych
Administrator nie zweryfikował podmiotu przetwarzającego pod kątem faktycznego wdrożenia środków zapewniających przetwarzanie danych zgodne z prawem. Uznał po prostu, że Biuro Geodezji posiada wszelkie procedury zapewniające ochronę danych osobowych – bez sprawdzenia, czy to założenie jest prawdziwe. Samej umowy powierzenia nie da się uznać za wystarczające potwierdzenie takich gwarancji – konieczna jest rzeczywista ocena praktyk dostawcy.
Za co UODO ukarało podmiot przetwarzający dane osobowe
Podmiot przetwarzający nie tylko nie wsparł administratora w realizacji jego obowiązków, ale swoją nierzetelnością przyczynił się do naruszenia przepisów RODO. Zgodnie z RODO podmiot przetwarzający jest zobowiązany do współdziałania z administratorem i udzielania mu pomocy w wywiązywaniu się z obowiązków – w tym z wdrożenia adekwatnych środków bezpieczeństwa. W tej sprawie tego współdziałania po prostu nie było.
Dlaczego kradzież sprzętu nie została uwzględniona w analizie ryzyka RODO
Zagrożenie w postaci kradzieży sprzętu komputerowego nie zostało uwzględnione w analizie ryzyka, ponieważ pracownicy administratora i podmiotu przetwarzającego formalnie nie mieli zgody na przetwarzanie danych poza siedzibą swoich organizacji. Zgodnie z przyjętymi regulacjami sytuacja, w której laptop znajduje się poza biurem, nie powinna mieć miejsca.
Rzeczywistość okazała się inna. Specyfika zadań realizowanych przez podmiot przetwarzający na zlecenie administratora – scalenie gruntów – z natury wymagała pracy w terenie, a nie wyłącznie w siedzibie organizacji. Analiza ryzyka oparta na formalnych zasadach pracy, a nie na rzeczywistym sposobie wykonywania zadań, nie zabezpiecza więc przed zagrożeniami, które faktycznie występują – opisuje bowiem sytuację teoretyczną, oddaloną od praktyki.
Czym różni się analiza ryzyka RODO od zadeklarowanych zasad pracy
Organ nadzorczy podkreślił, że zarządzanie ryzykiem jest fundamentem systemu ochrony danych osobowych i ma charakter ciągły – nie jednorazowego dokumentu, który się archiwizuje. Analiza ryzyka powinna być udokumentowana, konkretna i związana z rzeczywistym procesem przetwarzania, a nie z tym, jak przetwarzanie powinno teoretycznie wyglądać zgodnie z regulaminem.
W praktyce oznacza to, że przed przystąpieniem do analizy ryzyka RODO trzeba najpierw sprawdzić, jak dany proces faktycznie przebiega – nie tylko jak został opisany w polityce czy procedurze wewnętrznej. Rozbieżność między deklaracją a praktyką jest właśnie tym, co w tej sprawie doprowadziło do naruszenia.
Jakich środków organizacyjnych RODO zabrakło obok zabezpieczeń technicznych
Prezes UODO ustalił, że obok testowania zabezpieczeń technicznych nie badano skuteczności przyjętych środków organizacyjnych. Konkretnie zabrakło:
- nadzoru nad urządzeniami przenośnymi wykorzystywanymi przez pracowników,
- jasnych zasad wynoszenia sprzętu poza obszar przetwarzania danych osobowych,
- zakazu pozostawiania urządzeń bez nadzoru w sytuacjach, w których mogłoby dojść do ich kradzieży lub utraty.
Regularny audyt RODO, obejmujący nie tylko systemy IT, ale też praktyki organizacyjne pracowników, pozwala wychwycić takie luki zanim zrobi to organ nadzorczy po zgłoszeniu incydentu.
Czy podmiot przetwarzający odpowiada za naruszenie RODO tak jak administrator
Tak – i to jest kluczowy wniosek z tej sprawy. Odpowiedzialności za naruszenie RODO nie można przypisać wyłącznie administratorowi. Podmiot przetwarzający ma własne, samodzielne obowiązki wynikające z RODO, w tym obowiązek współdziałania z administratorem i wspierania go w zapewnieniu bezpieczeństwa przetwarzania. Jeśli podmiot przetwarzający nie wywiązuje się z tych obowiązków – jak w tej sprawie – odpowiada za to niezależnie od administratora, a nie zamiast niego.
Dla firm korzystających z usług inspektora ochrony danych to również sygnał, że nadzór nad relacją z podmiotami przetwarzającymi powinien być stałym elementem pracy IOD, a nie czynnością wykonywaną jednorazowo przy podpisywaniu umowy powierzenia. Firmy, które nie mają własnych zasobów do takiego nadzoru, często korzystają z outsourcingu obowiązków inspektora ochrony danych.
Jak szyfrowanie dysku chroni przed utratą poufności danych osobowych
Po incydencie administrator i podmiot przetwarzający wdrożyli m.in. szyfrowanie dysków. Jak można założyć, wprowadzone odpowiednio wcześniej mogłoby zapobiec odczytaniu danych osobowych ze skradzionego laptopa i utracie ich poufności – mimo samej kradzieży sprzętu. To dobra ilustracja tego, że RODO wymaga przetwarzania danych w sposób zapewniający jego odpowiednie bezpieczeństwo, w tym ochronę przed przypadkową utratą, zniszczeniem lub uszkodzeniem, a zasada rozliczalności wymaga, by administrator był w stanie wykazać, że te wymogi realnie spełnia – nie tylko deklaratywnie.
Podsumowanie
Ta decyzja UODO pokazuje dwie rzeczy naraz. Pierwsza: analiza ryzyka, która opisuje wyłącznie formalne zasady pracy, a nie rzeczywisty sposób wykonywania zadań, nie chroni przed niczym – jak w przypadku pracy w terenie przy scalaniu gruntów, mimo formalnego zakazu wynoszenia sprzętu. Druga: odpowiedzialność za ochronę danych osobowych rozkłada się między administratora i podmiot przetwarzający, a nierzetelność jednej ze stron nie zwalnia z odpowiedzialności drugiej.
Rzetelna analiza ryzyka to punkt wyjścia do zgodnego z RODO przetwarzania danych, ale wymaga regularnej weryfikacji tego, jak procesy faktycznie wyglądają w praktyce, a nie tylko tego, co przewiduje dokumentacja. W Ratio-Go pomagamy organizacjom oraz współpracującym z nimi podmiotom przetwarzającym zweryfikować, czy przyjęte analizy ryzyka i procedury organizacyjne odpowiadają rzeczywistemu sposobowi wykonywania zadań, oraz wspiera we wdrożeniu adekwatnych środków ochrony danych osobowych. Skontaktuj się z nami!
FAQ - Najczęściej zadawane pytania
Kto odpowiada za wyciek danych - administrator czy podmiot przetwarzający?
Za wyciek danych może odpowiadać zarówno administrator, jak i podmiot przetwarzający – niezależnie od siebie. Administrator odpowiada za wybór i weryfikację podmiotu przetwarzającego oraz wdrożenie własnych środków bezpieczeństwa, a podmiot przetwarzający za realizację swoich obowiązków, w tym współdziałanie z administratorem.
Czy administrator musi weryfikować podmiot przetwarzający?
Tak, administrator musi zweryfikować, czy podmiot przetwarzający faktycznie wdrożył środki zapewniające zgodność przetwarzania z RODO. Samo przyjęcie deklaracji podmiotu przetwarzającego, bez sprawdzenia jej prawdziwości, nie spełnia tego obowiązku.
Co powinna uwzględniać analiza ryzyka RODO dotycząca urządzeń przenośnych?
Analiza ryzyka dotycząca urządzeń przenośnych powinna uwzględniać rzeczywisty sposób wykonywania zadań przez pracowników, w tym pracę w terenie, a nie tylko formalne zasady zabraniające wynoszenia sprzętu poza biuro. Powinna też obejmować nadzór nad urządzeniami i zasady postępowania w razie ich utraty.
Czy szyfrowanie dysku jest wymagane przez RODO?
RODO nie wskazuje konkretnych technologii, ale wymaga wdrożenia środków technicznych adekwatnych do ryzyka. Szyfrowanie dysków na urządzeniach przenośnych jest jednym z podstawowych środków, które w praktyce chronią poufność danych osobowych w przypadku kradzieży lub utraty sprzętu.
Czy podmiot przetwarzający musi wspierać administratora w ochronie danych?
Tak, podmiot przetwarzający jest zobowiązany na podstawie RODO do współdziałania z administratorem i udzielania mu pomocy w wywiązywaniu się z obowiązków, w tym z wdrożenia adekwatnych środków bezpieczeństwa przetwarzania danych osobowych.
Jak często należy aktualizować analizę ryzyka RODO?
Analiza ryzyka RODO powinna być procesem ciągłym, a nie jednorazowym dokumentem. Należy ją aktualizować przy każdej istotnej zmianie w sposobie przetwarzania danych, w tym przy zmianie zakresu zadań pracowników lub podmiotów przetwarzających.
