Jeden zły załącznik i 64 tys. zł kary. UODO pokazał, za co naprawdę karze firmy

Kara UODO dla uczelni za plik z danymi 964 studentów

Przebieg zdarzeń był banalny. Na wewnętrznej platformie dziekanatu pojawił się komunikat o przydziałach do grup specjalnościowych i językowych. Pracownik przez przypadek dołączył do niego plik ze szczegółowymi danymi osobowymi 964 studentów przyjętych na studia rok wcześniej. Jak wynika z komunikatu UODO, administrator sam ustalił, że dostęp do pliku miało 388 osób, otworzyło go 125, a pobrań było 361.

Uczelnia sama zgłosiła naruszenie. Sprawa nosi sygnaturę DKN.5131.15.2022, więc zaczęła się w 2022 r., a decyzja zapadła dopiero teraz. Prezes UODO Mirosław Wróblewski nakazał też dostosowanie przetwarzania do RODO, poprzedzone nową analizą ryzyka. Organ uznał, że uczelnia naruszyła zasadę integralności i poufności oraz zasadę rozliczalności, a konkretnie art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO.

Błąd ludzki to najczęstsze naruszenie ochrony danych osobowych

Wokół RODO wciąż pokutuje przekonanie, że wycieki to domena hakerów. Tymczasem w małych firmach dane najczęściej wyciekają przez zwykłe roztargnienie: mail do kilkudziesięciu klientów w polu „DW” zamiast „UDW”, faktura wysłana do niewłaściwego kontrahenta, lista płac dołączona zamiast cennika, folder w chmurze udostępniony „każdemu, kto ma link”. Każda z tych sytuacji to naruszenie ochrony danych osobowych w rozumieniu RODO, nawet jeśli nikt nie miał złych zamiarów.

W sprawie poznańskiej uczelni najciekawsze jest to, co znalazło się w jej dokumentacji. Analiza ryzyka obejmowała awarie sprzętu, uszkodzenie systemu, wirusy, nieuprawniony dostęp, wyniesienie danych na nośniku i ujawnienie haseł. Zabrakło za to scenariusza, który w praktyce zdarza się najczęściej. UODO ujął to wprost: „Przed wystąpieniem incydentu, administrator nie uwzględniał w analizie ryzyka np. omyłkowego ujawnienia danych.”

Analiza ryzyka RODO, której nikt nie zaktualizował

Po zgłoszeniu incydentu uczelnia ponownie przeprowadziła analizę ryzyka i, jak wskazał organ, objęła nią ten sam katalog zagrożeń co wcześniej. Pomyłka, która właśnie się wydarzyła, nadal nie trafiła na listę. Moim zdaniem to najbardziej obciążający element sprawy.

Podejrzewam, skąd bierze się taki obraz. Spora część firm ma analizy ryzyka przepisane z szablonów z internetu albo z pakietu „wdrożenie RODO w tydzień”. Gotowce pisane są pod informatyków, stąd wirusy, awarie dysków i hasła. Rzadko który uwzględnia księgową, która w pośpiechu wybiera z listy nie tego adresata. Tymczasem RODO wymaga środków dobranych do realnego ryzyka konkretnej organizacji.

Zasada rozliczalności, czyli bez dowodów nie ma obrony

Drugi wątek decyzji dotyczy dowodów. Uczelnia przekonywała, że prowadziła wybiórcze kontrole tego, co trafia do studentów przez wewnętrzny system, i niczego niepokojącego nie stwierdzono. Organ odpowiedział, że „Oświadczenie administratora nie zostało jednak poparte żadnym dowodem”. Nie było protokołu z próby kontrolnej ani wyjaśnienia, w jaki sposób ustalono, że wcześniejsze komunikaty nie zawierały nadmiarowych danych.

Na tym polega zasada rozliczalności z art. 5 ust. 2 RODO: administrator ma przestrzegać przepisów i umieć to wykazać. Kontrola bez notatki, daty i nazwiska osoby, która ją przeprowadziła, w postępowaniu przed UODO nie istnieje.

Co z tej decyzji wynika dla małej firmy

Uniknięcie podobnej historii nie wymaga sztabu prawników. Wystarczy kilka rzeczy zrobionych porządnie. Pierwsza to analiza ryzyka uwzględniająca błąd człowieka: zły załącznik, zły adresat, jawna lista odbiorców. Druga to procedury wysyłki, np. zakaz masowych maili z widocznymi adresami i szyfrowanie plików z danymi z hasłem podawanym innym kanałem. Trzecia to kontrola dostępu, bo osoba publikująca komunikaty nie potrzebuje wglądu w pełną bazę klientów. Czwarta to dokumentowanie kontroli, choćby w arkuszu z datą i wynikiem. Piąta to aktualizacja analizy po każdym incydencie, bo to on najlepiej pokazuje, czego w niej brakowało. Pisaliśmy już, że UODO będzie kontrolować firmy, także te niewielkie.

Zgłoszenie incydentu z naruszeniem ochrony danych osobowych w 72 godziny

Gdy do pomyłki już dojdzie, zaczyna biec termin z art. 33 RODO. Administrator ma 72 godziny od stwierdzenia naruszenia, by zgłosić je Prezesowi UODO, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób, których dane dotyczą. Każde naruszenie, także niezgłaszane, trzeba odnotować w wewnętrznej ewidencji. Przy wysokim ryzyku dochodzi obowiązek zawiadomienia samych poszkodowanych z art. 34. Szczegóły procedury opisywaliśmy w tekście o tym, jak wygląda zgłoszenie incydentu z naruszeniem ochrony danych osobowych.

Zgłoszenie do UODO nie chroni przed karą, ale ukrycie byłoby gorsze

Poznańska uczelnia zrobiła to, czego wymaga prawo: sama zgłosiła incydent. I mimo to zapłaci. Podobnie było w głośnej sprawie, w której nałożono karę UODO za zgubiony pendrive, również po samodzielnym zgłoszeniu. Rozumiem przedsiębiorców, którzy zastanawiają się, czy uczciwość się opłaca. Moim zdaniem tak. Niezgłoszenie naruszenia to osobne naruszenie RODO, a organ, który dowie się o sprawie od rozżalonego klienta, będzie mniej wyrozumiały. Zgłoszenie liczy się przy ustalaniu wysokości kary, ale jej nie wyklucza.

Dla porządku: art. 83 RODO przewiduje za naruszenie obowiązków z art. 25 i 32 karę do 10 mln euro lub 2 proc. rocznego obrotu, a za naruszenie zasad z art. 5 nawet do 20 mln euro lub 4 proc. obrotu. Dla małego biura nawet 64 tys. zł to często roczny zysk.

Nie jestem fanem rozbuchanej biurokracji wokół ochrony danych i zgadzam się z głosami, że RODO do remontu dojrzało już dawno. Akurat w tej sprawie trudno jednak bronić ukaranego. Organ nie żądał od uczelni nadzwyczajnych zabezpieczeń, tylko dokumentu, który opisuje prawdziwe zagrożenia, i dowodu, że ktoś cokolwiek sprawdzał. Tego samego może zażądać od każdej firmy, która trzyma w komputerze listę klientów.

Obserwuj nas w Google Discover

Podobają Ci się nasze treści?

Google Discover

Obserwuj