Politechnika Warszawska ukarana za niewystarczające zabezpieczenie danych
Niezastosowanie adekwatnych środków bezpieczeństwa było główną przyczyną ukarania Politechniki Warszawskiej. Uczelnia musi zapłacić karę w wysokości 45 tys. zł.
Czego dotyczyła sprawa
Uczelnia zgłosiła do Prezesa UODO naruszenie ochrony danych. Ze zgłoszenia wynikało, że nieuprawniona osoba pobrała z zasobów sieci IT uczelni bazy danych, która zawierała dane osobowe ponad 5 tys. studentów i wykładowców.
Więcej na ten temat przeczytasz tutaj>>
Jak doszło do incydentu
W toku postępowania organ nadzorczy ustalił, żejednostka organizacyjna Politechniki wykorzystywała aplikację stworzoną przez pracowników uczelni. Aplikacja ta służyła do zapisywania się na przedmioty. Jednocześnie umożliwiała wgląd w historię nauczania, ocen czy rozliczania opłat.
Do incydentu doszło na początku stycznia 2020 r. Nieuprawniona osoba skorzystała z możliwości umieszczania plików w aplikacji, ponieważ dysponowała danymi uwierzytelniającymi. Natomiast w maju 2020 r. nastąpiło nieautoryzowane pobranie danych osobowych.
Jakich nieprawidłowości dopuścił się administrator
Organ nadzorczy uznał, że uczelnia nie wdrożyła środków technicznych i organizacyjnych adekwatnych do poziomu ryzyka wiążącego się z przetwarzaniem danych osobowych. Mimo obowiązywania reguły rozliczalności administrator nie przedstawił bowiem dowodów spełnienia tych obowiązków. Uczelni wytknięto również nieprzeprowadzenie analizy ryzyka.
Uczelnia ograniczyła się do identyfikacji zagrożeń poprzez zbieranie informacji z podległych jednostek.
W szczególności pominięto zagrożenia związane z funkcjonowaniem stworzonej przez pracowników aplikacji.
Orzecznictwo:
-
decyzja Prezesa UODO z 9 grudnia 2021 r. (DKN.5130.2559.2020)
- Czym zajmuje się kancelaria radcowska?
- Zgoda marketingowa – czy także od firmy lub instytucji
- Wpływ sztucznej inteligencji na ochronę danych osobowych
- Zgoda na przetwarzanie danych osobowych do celów reklamy behawioralnej – jak powinna wyglądać
- Organizacja konkursu dla uczniów – umowa powierzenia przetwarzania danych pomiędzy szkołą a organem prowadzącym
- Kara za przetwarzanie danych osobowych w rozmowach telefonicznych bez podstawy prawnej
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
