NSA: To administrator a nie pracownik ustala sposób zabezpieczenia danych

Naczelny Sąd Administracyjny oddalił skargę kasacyjną prezesa Sądu Rejonowego w Zgierzu od wyroku WSA w Warszawie. Tym samym podtrzymał decyzję Prezesa UODO w sprawie nałożenia 10 tys. złotych kary za brak odpowiednich zabezpieczeń. W sprawie chodziło o zgubiony, niezaszyfrowany pendrive z danymi osobowymi 400 osób.

W lutym 2020 r. kurator sądowy w Zgierzu zgubił niezaszyfrowanego pendrive’a z danymi osobowymi 400 osób. Były tam: imiona i nazwiska, daty urodzenia, adresy zamieszkania lub pobytu, numery PESEL, dane o zarobkach, majątku, numeru dowodów osobistych, telefonów, dane o zdrowiu i wyrokach skazujących.

Prezes Sądu Rejonowego – administrator danych – zgłosił to naruszenie ochrony danych do Prezesa UODO i poinformował o nim osoby, których dane znajdowały się na zgubionym nośniku. PUODO po analizie stwierdził, że administrator nie wypełnił tego obowiązku prawidłowo: nie poinformował odpowiednio o możliwych konsekwencji naruszenia ochrony danych osobowych oraz o tym, co zrobił administrator, by zminimalizować skutki naruszenia.

Czytaj też: TSUE: Urząd Ochrony Danych nie ma obowiązku nakładać kar za każde naruszenie RODO

Co działo się w sądzie przed incydentem

Prezes UODO ustalił, że administrator niewłaściwie wdrożył zabezpieczenia techniczne i organizacyjne. Otóż, zgodnie z procedurami funkcjonującymi w sądzie w Zgierzu obowiązek zabezpieczenia służbowego nośnika zawierającego dane osobowe spoczywał na samych użytkownikach (pracownikach). Obowiązek ewidencjonowania i szyfrowania nośników został zaś wprowadzony dopiero po tym, jak kurator zgubił swój pendrive.

Wcześniej pracownicy zostali po prostu przeszkoleni w zakresie ochrony danych. Tymczasem, jak zauważył Prezes UODO, jednorazowe szkolenie nie wystarczy. Nie gwarantuje, że pracownik nie będzie przenosić danych na niezabezpieczonym nośniku. W omawianym przypadku pracownik chronił dane, nosząc pendrive w zamykanej torbie.

Zdaniem UODO administrator : 

• nie zrobił odpowiedniej analizy ryzyka, więc nie mógł we właściwy sposób dążyć do jego minimalizacji;
• ograniczył się do zabezpieczeń organizacyjnych (procedury, szkolenia), nie weryfikując ich skuteczności;
• nie wdrożył zaś zabezpieczeń technicznych takich jak szyfrowanie, czy sprawdzanie nośników.

Wszystko to było nieadekwatne wobec ryzyka utraty lub zniszczenia tych danych. Zarówno w zakresie prawdopodobieństwa takiego zdarzenia, jak i jego konsekwencji.

Sądy przypominają, czym jest analiza oparta na ryzyku

Prezes UODO stwierdził naruszenie przepisów RODO (art. 5 ust. 1 lit. f), art. 25 ust, 1, art. 32 ust. 1 lit. b i lit. d) i nałożył na podmiot karę w wysokości 10 tys. zł. Jednak prezes Sądu Rejonowego w Zgierzu zaskarżył tę decyzję do WSA. Z uwagi na to, iż WSA poparł stanowisko organu, administrator wniósł skargę kasacyjną do NSA. Skargi zostały oddalone przez sądy obu instancji.

WSA w Warszawie w wyroku przypomniał, że administratorzy, przetwarzając dane osobowe, muszą doprowadzić do tego, by procesy przetwarzania danych były zgodne z RODO. W tym celu powinni wdrożyć organizacyjne i techniczne środki bezpieczeństwa. Tymczasem w tej sprawie administrator ograniczył się do wydania niezabezpieczonych nośników pamięci oraz zobowiązania kuratorów sądowych do wdrożenia zabezpieczeń tej pamięci we własnym zakresie. To nie wystarczyło, bo w przypadku zgubienia nośnika dostęp do danych mogły zyskać osoby nieuprawnione.

Z kolei NSA podkreślił, że wyposażenie kuratorów sądowych w szyfrowane nośniki pamięci zminimalizowałoby ryzyko naruszenia zasad poufności danych osobowych. Nawet w przypadku ich zgubienia. Takie rozwiązanie było dostępne, bo nie jest kosztowne, a sąd miał na ten temat odpowiednią wiedzę.

Do tego nawet ta analiza ryzyka, którą prezes sądu jako administrator danych przeprowadził, dowodzi, że ryzyko zagubienia nośników zostało zidentyfikowane. Tymczasem administrator nie wdrożył środków bezpieczeństwa adekwatnych do tego ryzyka.

W sprawie nie chodziło o karę za to, że administrator nie zapobiegł zagubieniu nośników, lecz o ochronę danych osobowych w przypadku zagubienia nośników. 

sygn. akt NSA III OSK 2654/22 

-------------------------------------------------------------------------------------------------------------------

Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.