Spis treści
Zgubiony pendrive pełen wrażliwych danych
Do incydentu doszło w 2023 roku. Pracownik sanepidu zgubił prywatny, niezaszyfrowany i niechroniony hasłem pendrive, na którym znajdowały się dane dotyczące zdrowia mieszkańców powiatu — informacje zbierane do 2021 r. oraz dokumenty z prowadzonych postępowań.
To właśnie ta sytuacja uruchomiła lawinę. Po zgłoszeniu incydentu Prezes UODO wszczął postępowanie i dokładnie prześwietlił sposób, w jaki sanepid zabezpiecza dane.
UODO: analiza ryzyka była fikcją
Kontrola wykazała, że administrator danych w Policach:
- nie przeprowadzał prawidłowej analizy ryzyka,
- nie miał procedur dotyczących korzystania z zewnętrznych nośników,
- a samo używanie pendrive’ów było… po prostu zakazane, bez realnego sprawdzania, czy pracownicy tego zakazu przestrzegają.
Ryzyko, że ktoś jednak użyje prywatnego nośnika, oceniono jako „niskie” — i na tym poprzestano. UODO uznał, że takie podejście narusza zasadę integralności i poufności oraz zasadę rozliczalności wynikające z RODO.
Dopiero po interwencji UODO zablokowano porty USB
Co najbardziej uderza? To, że dopiero po wszczęciu postępowania przez UODO sanepid:
- sprawdził swoje zabezpieczenia,
- oraz zablokował możliwość kopiowania danych na prywatne nośniki.
Wcześniej — mimo przetwarzania danych zdrowotnych tysięcy mieszkańców — nie wdrożono adekwatnych środków bezpieczeństwa.
„Rażące niedbalstwo” i poważne ryzyko dla obywateli
Prezes UODO nie miał wątpliwości: naruszenie miało poważny charakter, a ryzyko negatywnych skutków dla osób, których dane wyciekły, było wysokie. Co gorsza, nie ma pewności, że do danych nie uzyskały dostępu osoby postronne.
Na niekorzyść sanepidu działał również długi czas trwania naruszeń oraz liczne zaniechania, które UODO określił jako rażące niedbalstwo.
Kara i lekcja na przyszłość
Choć po incydencie sanepid wprowadził nowe zabezpieczenia, organ nadzorczy podkreśla, że administrator powinien był przewidzieć ryzyko i wdrożyć odpowiednie środki dużo wcześniej. Wadliwa analiza ryzyka pociągnęła za sobą kolejne błędy — a ich finałem jest nie tylko poprawa procedur, ale również 20‑tysięczna kara finansowa.
Podcasty
Playlisty tematyczne
