Wyciek danych kandydatów na studia w SGGW skutkował nałożeniem kary przez Prezesa UODO
Kategoria: Prawo administracyjne
Tematyka: Wyciek danych, kara, Prezes UODO, naruszenie RODO, SGGW, incydent, ochrona danych osobowych, inspektor ochrony danych, audyt wewnętrzny, dokumentacja ochrony danych
Decyzja Prezesa UODO z 21.8.2020 r. dotyczy nałożenia kary na SGGW za wyciek danych kandydatów na studia. Incydentem było zgubienie prywatnego laptopa z bazą danych. Prezes UODO stwierdził liczne naruszenia RODO, w tym brak oceny środków bezpieczeństwa danych. Uczelnia twierdziła, że wdrożyła procedury, ale Prezes UODO uznał to za niewystarczające.
Decyzją z 21.8.2020 r. (sygn. ZSOŚS.421.25.2019), w konsekwencji zgłoszenia naruszenia ochrony danych osobowych kandydatów na studia na Szkołę Główną Gospodarstwa Wiejskiego w Warszawie nałożona została kara za naruszenie przepisów RODO w wysokości 50.000 zł. Zgłoszenia naruszenia dokonała Uczelnia, w związku z incydentem polegającym na kradzieży prywatnego laptopa pracownika SGGW, na którym znajdowała się baza danych kandydatów na studia z ostatnich 5 lat. Naruszenie dotyczyło ponad 80 tys. rekordów i obejmowało m.in. dane takie jak: • dane identyfikacyjne, w tym numer PESEL, • dane adresowe, • serię i numer dokumentów tożsamości, • numer telefonu, • informacje o dotychczasowym wykształceniu. Pracownik Uczelni wykorzystywał prywatny laptop do celów służbowych, w tym do przetwarzania danych kandydatów na studia na potrzeby czynności rekrutacyjnych, wbrew obowiązującym na Uczelni procedurom z zakresu ochrony danych osobowych. W związku z dokonanym zgłoszeniem, Prezes UODO wszczął postępowanie kontrolne. W toku kontroli Prezes UODO stwierdził naruszenie przez Uczelnię przepisów o ochronie danych osobowych polegające na: • dokonaniu w sposób niewystarczający oceny skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania danych osobowych kandydatów; • nieuwzględnianiu w sposób wystarczający, przy korzystaniu z systemu służącego do przetwarzania danych osobowych kandydatów, zasady rozliczalności; • wypełnianiu przez inspektora ochrony danych zadań bez należytego uwzględnienia ryzyka związanego z operacjami przetwarzania; • nieuwzględnieniu w prowadzonym w SGGW rejestrze czynności przetwarzania danych osobowych, w zakresie czynności przetwarzania danych osobowych kandydatów na studia pierwszego, drugiego stopnia i jednolitych studiów magisterskich w SGGW wszystkich wymaganych przepisami RODO informacji. Decydujące dla wymierzenia kary pieniężnej dla Uczelni przez Prezesa UODO było niestosowanie przyjętych procedur w zakresie ochrony danych osobowych. Wdrożone zostały odpowiednie dokumenty, dostosowane w pewnym zakresie do przepisów RODO, jednak ich wprowadzenie, bez weryfikowania sposobu ich funkcjonowania w praktyce, Prezes UODO ocenił jako główną przyczynę zaistnienia incydentu związanego z wyciekiem danych. Odpowiadając na zarzuty Prezesa UODO, Uczelnia wskazywała m.in., że wdrożyła wymagane przepisami RODO procedury, powołała inspektora ochrony danych, podjęła wszelkie możliwe środki techniczne i organizacyjne, aby zapewnić bezpieczeństwo ochrony danych osobowych, nie może natomiast odpowiadać za tzw. czynnik ludzki. Zdaniem Uczelni, niezastosowanie się przez pracownika do obowiązujących w SGGW procedur nie może świadczyć o zawinieniu Uczelni jako administratora danych. W obszernym uzasadnieniu decyzji Prezes UODO zwrócił szczególną uwagę na rolę administratora danych w procesie weryfikacji obszarów przetwarzania danych w organizacji oraz przyjętych środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych osobowych. Zdaniem organu nadzorczego, kluczowe jest dokonywanie regularnych przeglądów przyjętej dokumentacji zawierającej opis stosownych procedur. Prezes UODO podkreślił, że istotnym dokumentem składającym się na politykę ochrony danych osobowych jest plan utrzymania zgodności oraz prowadzenia audytów wewnętrznych, w tym m.in.. monitorowania i audytu procedur wewnętrznych. Prezes UODO stwierdził, że powołany przez SGGW inspektor ochrony danych nie był angażowany przez uczelnię w proces rekrutacji na studia obejmujący funkcjonowanie systemu informatycznego przeznaczonego do tego działania. W konsekwencji, IOD nie wypełniał swoich zadań z należytym uwzględnieniem ryzyka związanego z operacjami przetwarzania. W ocenie organu nadzorczego, konieczne jest włączenie inspektora ochrony danych we wszelkie procesy związane z przetwarzaniem danych, z uwagi na to, że inspektor, jako podmiot, który powinien posiadać odpowiednią wiedzą w zakresie ochronnych danych osobowych, mógłby w każdym przypadku przyczynić się do obniżenia ryzyka niewłaściwego przetwarzania danych. Dodatkowo, wpływ na wymierzenie kary przez organ nadzorczy miał okres trwania naruszeń. Uczelnia przechowywała dane kandydatów na studia z ostatnich 5 lat, przy czym zgodnie z przyjętymi przez SGGW procedurami, okres przechowywania danych nie powinien być dłuższy niż 3 miesiące. Prezes UODO zwrócił uwagę, iż: „Uczelnia, jako administrator danych, z uwagi na specyfikę funkcjonowania skalę oraz zakres pozyskiwanych kategorii danych osobowych powinna w sposób szczególny zwracać uwagę na czynności przetwarzania związane z procesem rekrutacji”. To kolejna decyzja Prezesa UODO, w uzasadnieniu której, podkreślana jest waga praktyki w stosowaniu wdrożonych w danej organizacji procedur dotyczących ochrony danych osobowych. Mając na uwadze aspekty praktyczne, należy stwierdzić, że w przedmiotowej decyzji w sposób jasny i szczegółowy opisane zostały oczekiwania organu nadzorczego dotyczące wymagane zakresu dokumentacji dotyczącej ochrony danych osobowych, sposobu nadzorowania funkcjonowania procedur, sposobu przeprowadzania audytów wewnętrznych, jak również dokonywania oceny ryzyka procesów przetwarzania danych. Komentarz Uzasadnienie komentowanej decyzji to kopalnia wiedzy na temat tego, jak zdaniem organu nadzorczego powinna zostać przygotowana dokumentacja z zakresu ochrony danych osobowych, jak powinny zostać wdrożone procedury oraz jakie są najważniejsze zadania administratora danych i inspektora ochrony danych. Wydaje się to szczególnie istotne z tego względu, że w wielu podmiotach dokumentacje i procedury przygotowywane były naprędce, tak aby zdążyć przed 25.5.2018, tj. terminem wejścia w życie przepisów RODO. Zapomina się jednak o konieczności dokonywania ich aktualizacji. Na to przede wszystkim zwracał uwagę Prezes UODO w przedmiotowej decyzji. decyzja Prezesa UODO z dnia 21.8.2020 r., sygn. ZSOŚS.421.25.2019
Decyzja Prezesa UODO podkreśla wagę praktyki w stosowaniu procedur ochrony danych osobowych. Wskazuje na konieczność regularnych przeglądów dokumentacji i audytów wewnętrznych. Uczelnia nie zapewniła bezpieczeństwa danych kandydatów, co skutkowało nałożeniem kary.