Prezes UODO udzielił upomnienia szpitalowi specjalistycznemu w Sosnowcu za brak weryfikacji podmiotu przetwarzającego, któremu powierzył obsługę poczty elektronicznej. Po włamaniu na skrzynkę pocztową wyciekły dane osobowe 224 osób. Sprawa pokazuje, że podpisanie umowy powierzenia z art. 28 RODO to dopiero początek obowiązków administratora – kluczowa jest rzeczywista weryfikacja podmiotu przetwarzającego, a nie samo przyjęcie jego deklaracji o zgodności z RODO.
Spis treści
Włamanie na skrzynkę pocztową i wyciek danych 224 osób
Sprawa rozpoczęła się w 2021 r., gdy osoba nieuprawniona uzyskała dostęp do poczty elektronicznej szpitala utrzymywanej na serwerach zewnętrznego dostawcy usługi – podmiotu przetwarzającego. W wyniku włamania osoba ta pobrała całą zawartość skrzynki, w tym dane osobowe 224 osób.
Po zgłoszeniu naruszenia ochrony danych osobowych Prezes UODO przeanalizował okoliczności sprawy, w tym sposób realizacji obowiązków administratora w zakresie zabezpieczania danych, i wszczął postępowanie administracyjne wobec obu podmiotów: administratora (szpitala) i podmiotu przetwarzającego (dostawcy usługi pocztowej). Warto pamiętać, że samo zgłoszenie naruszenia ochrony danych do UODO nie zamyka sprawy administratora – organ i tak może zbadać, czy do naruszenia doszło z powodu zaniedbań w wyborze lub weryfikacji dostawcy.
Co ustalił Prezes UODO w postępowaniu administracyjnym
Administrator nie zweryfikował gwarancji dostawcy
Szpital, zawierając umowę powierzenia, ustalił wykaz środków bezpieczeństwa, które miały chronić powierzone dane. Nie przeprowadził jednak zgodnej z RODO oceny, czy podmiot przetwarzający rzeczywiście zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych. Co istotne, administrator posiadał organizacyjne przygotowanie do takiej weryfikacji – miał opracowaną politykę współpracy z dostawcami w zakresie bezpieczeństwa informacji oraz wymóg oszacowania ryzyka przy zamówieniach publicznych do 30 tys. euro. Mimo to nie zastosował własnej procedury oceny ryzyka przy wyborze tego konkretnego podmiotu przetwarzającego.
Dodatkowo administrator przeprowadził wcześniej analizę ryzyka czynników, które mogą się zmaterializować przy wykorzystaniu poczty elektronicznej, ale nie wskazał w niej wprost dostawcy usługi pocztowej. Przed stwierdzeniem naruszenia nie podjął też żadnych działań minimalizujących ryzyko – nawet tych, które sam wcześniej zidentyfikował w tej analizie.
Podmiot przetwarzający nie wdrożył odpowiednich środków bezpieczeństwa
Podmiot przetwarzający oświadczył, że stosuje środki bezpieczeństwa spełniające wymogi RODO, i wskazywał na posiadaną certyfikację ISO/IEC 27001 w zakresie bezpieczeństwa informacji. Deklarował również, że stosowane środki techniczne i organizacyjne są adekwatne do rodzaju powierzonych mu danych. Postępowanie wykazało jednak, że dostawca nie przeprowadzał własnej analizy ryzyka w celu zapewnienia bezpieczeństwa powierzonych danych osobowych – co w praktyce oznaczało brak realnych podstaw do wdrożenia adekwatnych środków ochrony.
Certyfikat ISO 27001 nie zwalnia z weryfikacji podmiotu przetwarzającego
Ta sprawa jest dobrym przykładem tego, że certyfikat czy podpisane oświadczenie dostawcy o zgodności z RODO nie zwalnia administratora z obowiązku weryfikacji. Certyfikacja ISO/IEC 27001 potwierdza istnienie systemu zarządzania bezpieczeństwem informacji, ale nie jest równoznaczna ze zgodnością konkretnego procesu przetwarzania z RODO. Prezes UODO ocenił, że mimo takiej certyfikacji podmiot przetwarzający i tak nie przeprowadzał własnej analizy ryzyka – a to właśnie ta analiza powinna stać za doborem konkretnych środków technicznych i organizacyjnych.
Dla administratora płynie z tego konkretny wniosek: samo oświadczenie dostawcy o zapewnieniu bezpieczeństwa nie zastępuje weryfikacji podmiotu przetwarzającego. Konieczne jest sprawdzenie, na czym faktycznie opiera się taka deklaracja – jaka analiza ryzyka stoi za nią i jakie konkretne środki techniczne i organizacyjne zostały rzeczywiście wdrożone.
Obowiązek weryfikacji podmiotu przetwarzającego
Zgodnie z art. 28 ust. 1 RODO administrator może korzystać jedynie z podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, tak by przetwarzanie spełniało wymogi RODO i chroniło prawa osób, których dane dotyczą. Ten obowiązek ma dwa etapy, które łatwo pomylić z jednorazową formalnością.
Staranny wybór dostawcy przed podpisaniem umowy
Pierwszy etap to wybór dostawcy – nie tylko na podstawie jego zapewnień, ale na podstawie rzeczywistej oceny tego, czy jest w stanie zapewnić bezpieczeństwo przetwarzania, opartej na rzetelnej analizie ryzyka związanej z konkretnym dostawcą i konkretnym sposobem przetwarzania danych – a nie na ogólnym opisie kategorii ryzyk związanych z danym kanałem komunikacji, jak w tej sprawie z pocztą elektroniczną.
Okresowa weryfikacja gwarancji już w trakcie współpracy
Drugi etap to weryfikowanie w odpowiednich odstępach czasu gwarancji dawanych przez podmiot przetwarzający – na przykład za pomocą audytów lub inspekcji. Administrator musi też być w stanie wykazać, że wyboru dostawcy dokonano z należytą starannością, w sposób świadomy i zgodny z prawem – najlepiej posiadając materialne dowody tej weryfikacji. Regularny audyt RODO, obejmujący również współpracujące z firmą podmioty przetwarzające, pozwala na bieżąco gromadzić dowody należytej staranności administratora. To właśnie te dowody stanowią realne wykazanie rozliczalności wymaganej przez RODO, gdy organ nadzorczy bada okoliczności ewentualnego naruszenia.
Dlaczego administrator dostał tylko upomnienie, a nie karę finansową
Prezes UODO uznał, że w tej sprawie wystarczającym środkiem jest upomnienie, a nie administracyjna kara pieniężna. Za taką decyzją przemawiało kilka okoliczności łagodzących: administrator przed zawarciem umowy powierzenia ustalił wykaz środków bezpieczeństwa, a naruszenie nie wynikało z całkowitego braku działań w zakresie weryfikacji dostawcy. Organ nadzorczy docenił też, że szpital jest świadomy swoich zaniedbań, podjął działania naprawcze minimalizujące ryzyko powtórzenia się naruszenia i miał odpowiednio wdrożonego inspektora ochrony danych, co pozytywnie wpłynęło na poziom bezpieczeństwa przetwarzania. Analogicznie, w przypadku podmiotu przetwarzającego, na korzyść przemawiały podjęte przez niego działania na rzecz podniesienia poziomu bezpieczeństwa.
To ważny sygnał dla firm, które boją się, że każde niedopatrzenie od razu kończy się maksymalną karą. Postawa administratora po incydencie – szybkie zgłoszenie naruszenia, wdrożenie IOD, konkretne działania naprawcze – istotnie wpływa na wymiar sankcji. Warto zauważyć, że posiadanie inspektora ochrony danych zostało tu wprost wskazane jako czynnik łagodzący – firmy, które nie mają własnego działu compliance, często korzystają w tym celu z outsourcingu inspektora ochrony danych.
Praktyczne wnioski dla firm korzystających z zewnętrznych dostawców IT
Sprawa szpitala w Sosnowcu dotyczyła poczty elektronicznej, ale mechanizm jest identyczny przy każdym zewnętrznym dostawcy IT – hostingu, systemie CRM, oprogramowaniu księgowym czy chmurze. Warto zapamiętać kilka zasad wynikających wprost z tej decyzji:
- Podpisanie umowy powierzenia nie zwalnia administratora z dalszych obowiązków – art. 28 RODO wymaga dodatkowo przeprowadzenia realnej weryfikacji dostawcy, wykraczającej poza samo zawarcie umowy.
- Deklaracje i certyfikaty dostawcy podlegają weryfikacji, a nie automatycznemu przyjęciu – najskuteczniej poprzez audyt lub żądanie dokumentacji potwierdzającej faktycznie wdrożone środki bezpieczeństwa.
- Analiza ryzyka powinna odnosić się do konkretnego dostawcy, a nie do ogólnej kategorii usługi – przykładowo do konkretnego operatora poczty elektronicznej, a nie do usługi pocztowej jako takiej.
- Proces weryfikacji wymaga udokumentowania – wykazanie należytej staranności przez administratora wymaga materialnych dowodów, a nie jedynie utrwalonej praktyki wewnętrznej.
- Sposób reakcji na incydent wpływa na wymiar odpowiedzialności – terminowe zgłoszenie naruszenia oraz wdrożenie działań naprawczych mogą przełożyć się na zastosowanie upomnienia w miejsce kary finansowej.
Jeśli firma korzysta z wielu dostawców zewnętrznych, warto zadbać, by osoby odpowiedzialne za wybór i nadzór nad nimi wiedziały, na co zwracać uwagę przy weryfikacji – w tym pomagają dedykowane szkolenia RODO, które uczą rozpoznawać różnicę między deklaracją dostawcy a realnym dowodem bezpieczeństwa.
Podsumowanie
Ta decyzja UODO pokazuje, że weryfikacja podmiotu przetwarzającego to proces, nie jednorazowa formalność przy podpisywaniu umowy. Administrator, który poprzestaje na deklaracji dostawcy – nawet potwierdzonej certyfikatem – ryzykuje odpowiedzialność za naruszenie RODO, jeśli dojdzie do incydentu. W tej sprawie decydujące znaczenie miało to, że szpital posiadał procedury weryfikacji, ale ich nie zastosował przy tym konkretnym dostawcy, a analiza ryzyka nie objęła go wprost.
Weryfikacja dostawców to jeden z wielu obszarów, które składają się na rzeczywistą, a nie jedynie deklaratywną zgodność z RODO. Pełny obraz wymaga spojrzenia na całość przetwarzania danych w organizacji – od dokumentacji, przez podstawy prawne poszczególnych procesów, po sposób doboru i nadzorowania podwykonawców. Zespół Ratio-Go wspiera organizacje na każdym etapie tego procesu – od audytu i analizy ryzyka, przez wdrożenie procedur, po bieżące doradztwo prawne. Zapraszamy do kontaktu.
FAQ - Najczęściej zadawane pytania
Czy umowa powierzenia wystarcza do zgodności z RODO?
Nie, sama umowa powierzenia nie wystarcza. Zgodnie z art. 28 RODO administrator musi też realnie zweryfikować, czy podmiot przetwarzający zapewnia wystarczające gwarancje bezpieczeństwa – zarówno przed podpisaniem umowy, jak i okresowo w trakcie współpracy.
Jak zweryfikować podmiot przetwarzający dane osobowe?
Weryfikacja podmiotu przetwarzającego powinna obejmować ocenę ryzyka związanego z konkretnym dostawcą, sprawdzenie faktycznie wdrożonych środków technicznych i organizacyjnych, a także okresowe audyty lub inspekcje. Same deklaracje i certyfikaty dostawcy nie zastępują tej weryfikacji.
Czy certyfikat ISO 27001 gwarantuje zgodność z RODO?
Nie, certyfikat ISO/IEC 27001 potwierdza wdrożenie systemu zarządzania bezpieczeństwem informacji, ale nie jest automatycznym dowodem zgodności z RODO. Prezes UODO stwierdził naruszenie mimo posiadania takiej certyfikacji przez podmiot przetwarzający.
Jaka kara grozi za brak weryfikacji podmiotu przetwarzającego?
Za brak weryfikacji podmiotu przetwarzającego Prezes UODO może nałożyć administracyjną karę pieniężną, ale w niektórych przypadkach – gdy administrator wykaże posiadanie procedur i działania naprawcze po incydencie – organ może ograniczyć się do upomnienia, jak w sprawie szpitala w Sosnowcu.
Kto odpowiada za wyciek danych przez zewnętrznego dostawcę usług?
Za wyciek danych przez zewnętrznego dostawcę mogą odpowiadać obie strony: administrator, jeśli nie zweryfikował gwarancji dostawcy przy jego wyborze, oraz podmiot przetwarzający, jeśli nie wdrożył odpowiednich środków bezpieczeństwa mimo zawartej umowy powierzenia.
Co powinna zawierać analiza ryzyka przy wyborze dostawcy IT?
Analiza ryzyka przy wyborze dostawcy IT powinna odnosić się do konkretnego podmiotu i konkretnego sposobu przetwarzania danych, a nie ogólnej kategorii usługi. Analiza ograniczona do ogólnych zagrożeń, bez wskazania faktycznego dostawcy, nie spełnia wymogów RODO.
