Sama analiza ryzyka nie wystarczy (kara UODO)

Wójt gminy zgłosił naruszenie ochrony danych polegające na kradzieży służbowego laptopa z danymi osobowymi. Laptop ten został skradziony z domu jednego z pracowników urzędu gminy. Zagrożone stały się więc dane osobowe znajdujące się na tym sprzęcie.

W toku postępowania Prezes UODO stwierdził nieprawidłowości w działaniu administratora. Wprawdzie administrator przeprowadził analizę ryzyka. W analizie tej odniósł się zaś do zagrożenia zdefiniowanego jako kradzież sprzętu komputerowego wykorzystywanego do przetwarzania danych osobowych. Zagrożenie to ocenił jako nieakceptowalne. Następnie zaś określił zabezpieczenia, które miały być wdrożone w celu jego limitowania ryzyka.

Niestety na tym administrator poprzestał. W rzeczywistości bowiem skradziony komputer był zabezpieczony jedynie hasłem. Nie zastosowano więc na tym sprzęcie innych planowanych środków bezpieczeństwa, w szczególności szyfrowania. Właśnie to stało się przyczyną wymierzenia kary przez Prezesa UODO.

Organ nadzorczy dostrzegł, że administrator wykonał niektóre obowiązki RODO i miał świadomość konieczności wdrożenia środków bezpieczeństwa wybranych na podstawie analizy ryzyka. Wszak z uwagi na:

• charakter, zakres, kontekst i cele przetwarzania,

• ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze,

administrator musi odpowiednie środki techniczne i organizacyjne, aby zapewnić zgodność przetwarzania z RODO i być w stanie się z tego rozliczyć (art. 24 ust. 1 RODO). Tymczasem ten obowiązek nie został wykonany.

Dopiero po wystąpieniu naruszenia administrator podjął działania następcze mające na celu uniknięcie tego typu incydentów w przyszłości. Wprowadził bowiem szyfrowanie dysków twardych na wszystkich pozostałych laptopach. Było to jednak działanie spóźnione

Na szczęście komputer został odnaleziony i – jak się okazało – nie doszło do naruszenia praw i wolności podmiotów danych. Ustalono bowiem, że od dnia kradzieży nie uruchamiano systemu operacyjnego laptopa. Z tego względu organ nadzorczy ograniczył się do wymierzenia stosunkowo niskiej administracyjnej kary pieniężnej w wysokości 8 tys. zł.

• decyzja Prezesa UODO z 2 listopada 2022 r. (DKN.5131.8.2022)