Nieaktualna baza wirusów może skutkować karą za naruszenie ochrony danych
30 tys. zł – tyle wyniosła kara nałożona przez Prezesa Urzędu Ochrony Danych Osobowych na burmistrza jednej z gmin. Był to skutek braków w zabezpieczeniach danych m.in. nieaktualnej bazy wirusów, co doprowadziło do skutecznego ataku ransomware i utraty dostępu do danych
Atak ransomware i utrata dostępu do danych w urzędzie gminy
Wskutek ataku ransomware w jednym z urzędów gmin doszło do utraty danych osobowych. Dane zostały zaszyfrowane wskutek działania złośliwego oprogramowania. W efekcie administrator utracił do nich dostęp.
Niezaktualizowana baza wirusów i system operacyjny bez wsparcia producenta
Jak ustalono w toku postępowania, atak ransomware powiódł się z uwagi na istnienie podatności w systemie IT wykorzystywanym przez urząd. Tą podatnością była zaś niezaktualizowana baza wirusów. Poza tym wykorzystywany przez administratora system operacyjny nie był już wspierany przez producenta. Choć administrator był tego świadom, ponieważ zidentyfikował takie ryzyko, to jednak nie podjął w związku z tym żadnych działań.
Administrator nie zabezpieczył kopii zapasowych
Poza tym administratorowi zarzucono:
-
nierzetelność przeprowadzonej analizy ryzyka (szczególnie w zakresie wykonywania kopii zapasowych – nie zapewniono tu możliwości szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w przypadku cyberataków),
-
niepełne – w ocenie Prezesa UODO – środki bezpieczeństwa danych osobowych
-
brak systematycznego testowania środków bezpieczeństwa.
W konsekwencji organ nadzorczy nałożył na burmistrza gminy karę w wysokości 30 tys. zł.
-
decyzja Prezesa UODO z 16 maja 2023 r. (DKN.5131.56.2022)
- Pracownik w delegacji – jak wygląda przekazywanie jego danych osobowych do państwa trzeciego
- Mechanizmy dochodzenia roszczeń w związku z wdrożeniem ram ochrony danych UE - USA
- Upoważnienie do przetwarzania danych osobowych czy oświadczenie o poufności
- TSUE: Identyfikator personalizacji reklam zaliczany do danych osobowych według RODO
- Kara za przetwarzanie danych osobowych w rozmowach telefonicznych bez podstawy prawnej
- Zgoda marketingowa – czy także od firmy lub instytucji
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
