Kradzież laptopa ujawniła poważne braki w ochronie danych. Chodziło o służbowy laptop pracownika Wojewódzkiego Biura Geodezji i Urządzania Terenów Rolnych w Lublinie. Okazało się, jednak że problem był większy, niż początkowo sądzono.
Na laptopie znajdowały się dane około 700 osób, w tym imiona, nazwiska, daty urodzenia, adresy, numery PESEL, serie i numery dowodów osobistych oraz numery ksiąg wieczystych. Po incydencie UODO uznał, że trzeba sprawdzić nie tylko okoliczności utraty laptopa, ale także sposób zabezpieczenia procesu przetwarzania danych.
Co się wydarzyło
W 2023 r. Starosta Powiatu Lubartowskiego zgłosił naruszenie ochrony danych osobowych po kradzieży służbowego laptopa. Sprzęt należał do pracownika Wojewódzkiego Biura Geodezji i Urządzania Terenów Rolnych w Lublinie.
Zgłoszenie dotyczyło utraty poufności danych około 700 osób. Nie była to drobna awaria, lecz sytuacja, w której zagrożone były dane pozwalające jednoznacznie zidentyfikować konkretne osoby.
Sprawa była szczególnie ważna, ponieważ dotyczyła pracy przy scalaniu gruntów. Tego typu zadania poza biurem wymagają szerszego spojrzenia na zagrożenia, w tym te związane z transportem i przechowywaniem sprzętu.
Dlaczego UODO nałożył karę
Najważniejszy zarzut dotyczył braku odpowiednich środków technicznych i organizacyjnych. W praktyce oznaczało to, że zabezpieczenia nie odpowiadały rzeczywistemu ryzyku korzystania ze służbowego laptopa poza bezpiecznym miejscem pracy.
Kolejnym problemem była zbyt słaba kontrola nad podmiotem przetwarzającym dane. Administrator założył, że druga strona ma odpowiednie procedury, ale nie sprawdził tego dokładnie. UODO uznał, że to niewystarczające, ponieważ odpowiedzialność za bezpieczeństwo danych nie kończy się na przekazaniu zadań.
UODO zwrócił też uwagę na brak analizy ryzyka dotyczącej kradzieży sprzętu komputerowego. Z decyzji wynika, że szyfrowanie dysków wprowadzono dopiero po incydencie, choć wcześniej mogłoby to zapobiec odczytaniu danych z ukradzionego laptopa.
Co zrobiono po naruszeniu
Po incydencie wprowadzono szyfrowanie dysków. To pokazuje, że niektóre zabezpieczenia pojawiły się dopiero po wystąpieniu zagrożenia.
W decyzji podkreślono także, że należało lepiej sprawdzać rozwiązania organizacyjne. Dotyczyło to zasad korzystania z urządzeń przenośnych, nadzoru nad sprzętem oraz zakazu pozostawiania go bez opieki.
Ten aspekt pokazuje, że sprawa nie dotyczy tylko technologii. Równie ważne są
codzienne procedury i ich faktyczne przestrzeganie. W tym aspekcie jeto to podobna sprawa do tej którą opisywaliśmy
tutaj.
Dlaczego ta decyzja jest ważna
UODO jasno pokazał, że sama dokumentacja to za mało. Zarządzanie ryzykiem powinno być udokumentowane, ciągłe, konkretne i dostosowane do rzeczywistych warunków przetwarzania danych. Prezes UODO nałożył na Starostę Powiatu Lubartowskiego karę 21 tys. zł, a na podmiot przetwarzający 12,5 tys. zł. To pokazuje, że odpowiedzialność może dotyczyć obu stron, jeśli obie mają wpływ na bezpieczeństwo danych.
To wyraźna przestroga dla innych organizacji. Jeśli sprzęt przenośny zawiera dane osobowe, trzeba brać pod uwagę także scenariusze, takie jak kradzież czy zagubienie.
FAQ
1. Kto został ukarany przez UODO w tej sprawie?
Karę administracyjną otrzymał Starosta Powiatu Lubartowskiego oraz podmiot przetwarzający związany z obsługą danych.
2. Dlaczego kradzież laptopa stała się problemem w zakresie ODO?
Bo na urządzeniu były niezaszyfrowane dane osobowe około 700 osób, w tym informacje pozwalające na ich jednoznaczną identyfikację.
3. Czy UODO uznał, że zawiodły wyłącznie zabezpieczenia techniczne?
Nie. W decyzji wskazano także na braki organizacyjne, w tym niewystarczającą kontrolę nad sprzętem oraz niepełną analizę ryzyka.
4. Czy po incydencie coś zmieniono?
Tak, po kradzieży wdrożono szyfrowanie dysków, czyli zabezpieczenie, które wcześniej mogło ograniczyć skutki zdarzenia.
5. Co ta decyzja oznacza dla innych instytucji?
Że ochrona danych musi obejmować realne zagrożenia, a odpowiedzialność za bezpieczeństwo spoczywa zarówno na administratorze, jak i na podmiocie przetwarzającym.
