Niebezpiecznik

Incydent zdarzył się w firmie z branży gastronomicznej. Był prawidłowo zgłoszony. Firma miała analizy ryzyka i instrukcje, a pendrive miał się zgubić na terenie zakładu. UODO mimo wymierzył dość surową karę.

Nie gub dysków USB!

W Polsce każdego dnia dochodzi do incydentów, w których wyciekają dane osobowe Pana, Pani i Twoje też. Ale naprawdę rzadko są tak ogromne i dotkliwe wycieki jak ten z ALABu albo ten z Medily. Najczęściej zdarzają się incydenty raczej przyziemne – zgubienie pendrive’a lub dokumentacji papierowej, która dotyczyła kilkunastu lub zaledwie kilku osób. Wielu przedsiębiorców słysząc o tym pokiwa głową i powie “no tak, to się zdarza, ale przecież nie dostaniesz za to bardzo wysokiej kary“. O tym jak błędne jest takie myślenie świadczy decyzja Urzędu Ochrony Danych Osobowych z dnia 29 kwietnia 2024 r (DKN.5131.29.2023). Decyzja ta dotyczy firmy Res-Gastro M. Gaweł Sp. k., która dostała karę w wysokości 238 345 zł właśnie za zgubienie pendrive’a. 

Incydent zgłoszony, nawet papiery na to były

Firma Res-Gastro sama (!) zgłosiła zgubienie nośnika do UODO. Na nośniku znajdowały się:

• niezaszyfrowane pliki z danymi osobowymi jednego pracownika (imię, nazwisko, pesel, adres zamieszkania, obywatelstwo, data urodzenia, dane paszportu, numeru telefonu, adres e-mail, zdjęcie pracownika i dane dotyczące zarobków;
• zaszyfrowane pliki z danymi finansowymi.

Ależ to pech! Ogólnie szyfrowali dane, ale coś poszło nie tak… Nie pomogło, że firma sama zgłosiła incydent, że przekazała do UODO dokumenty — instrukcje dla pracowników, potwierdzenie przeprowadzenia monitoringu procedur z zakresu RODO, rejestr, kopię maila z informacjami o zabezpieczeniach nośników i analizę ryzyka. Nie pomogło pokazanie, że obowiązki RODO traktuje się w tej firmie poważnie. Prezes UODO postanowił wszcząć postępowanie w tej sprawie i zażądał od firmy dodatkowych informacji. Spytał m.in. czy oprócz ogólnej instrukcji wdrożono w firmie konkretną procedurę szyfrowania oraz czy pracownik posiadał zgodę na skopiowanie tych danych.

Administrator odpowiedział, że owszem — instrukcja była, upoważnienie było, zgoda była. W kolejnych wyjaśnieniach administrator dodał, że pendrive nie został zgubiony w miejscu publicznym lecz na terenie zakładu pracy, w części, do której dostęp mają wyłącznie pracownicy. Wydaje się, że to nie jest sprawa na 240 tys. kary. UODO przeanalizował przekazane dokumenty i doszedł do wniosku, że np. analiza ryzyka w ogóle nie przewidywała możliwości wystąpienia zdarzenia polegającego na zagubieniu zewnętrznego nośnika danych przez pracownika (choć przewidziano możliwość włamania). Z tego płynie pierwsza nauczka. Analiza powinna naprawdę analizować ryzyko, a nie tylko być. UODO miał też zastrzeżenia co do “instrukcji szyfrowania”.

Dostęp do filmiku to za mało…

Administrator (…) przygotował odrębną instrukcję objaśniającą, w jaki sposób szyfrować pliki na pendrive oraz jakiego programu do tego celu użyć i przekazał link, pod którym można zapoznać się z ww. instrukcją (sporządzoną w formie filmu instruktażowego). Przedmiotowy film instruktażowy wyjaśnia, w jaki sposób, za pomocą programu (…) zaszyfrować prezentowane w materiale pliki z danymi. Biorąc pod uwagę zastosowaną przez Administratora formę (film instruktażowy) (…) ie jest możliwe dokonanie jego rzetelnej oceny pod kątem skuteczności i realnie pozyskanej wiedzy i umiejętności pracowników w omawianym zakresie (brak następczych czynności sprawdzających zapoznanie się pracowników Administratora z materiałem).

Dlatego UODO uznał, że administrator de facto “przerzucił na swoich pracowników wdrożenie środków bezpieczeństwa w postaci szyfrowania zewnętrznych nośników“. Nie wystarczy kazać pracownikom stosować się do procedur. Trzeba się upewnić, że je znają i potrafią stosować. UODO powołał się przy tym na na wyrok WSA w Warszawie z dnia 15 lutego 2022 roku (sygn. akt II SA/Wa 3309/21) w którym stwierdzono, że “pracownik może nie posiadać w tym zakresie odpowiedniej wiedzy“, a także że “pracownik nie może zastąpić administratora w wykonywaniu jego obowiązków“.

Nie mierzono, nie sprawdzano, nie oceniano

UODO nie miał też pewności czy pendrive rzeczywiście zgubił się na terenie firmy. Przyjęto tak jedynie na podstawie wyjaśnień pracownika, a potem przy sprzątaniu i dodatkowych poszukiwaniach nikt tego nośnika nie odnalazł. Należy założyć, że mógł być wyniesiony na zewnątrz. Nie każdy pracownik miał upoważnienie do przetwarzania danych więc pendrive i tak mógł wpaść w ręce osoby niepowołanej. Zdaniem UODO  firma nie dopełniła obowiązku regularnego mierzenia, testowania i oceniania skuteczności zastosowanych środków bezpieczeństwa. Nie chodzi tylko o to, aby napisać procedurę, która stwierdza jak ma być. Trzeba te procedury przeglądać i sprawdzać czy działają. Grupa pracowników, której mogła dotyczyć ta sprawa była stosunkowo wąska. Zdaniem UODO można było zrobić więcej.

Nie jest to to pierwszy raz, gdy widzimy stosunkowo wysoką karę UODO za zgubienie danych tylko jednej osoby, natomiast do tej pory takie kary w większości dotyczyły niezgłoszenia incydentu (kara dla Esselmann Technika Pojazdowa to dobry przykład). W tym przypadku zgłoszenie było, upoważnienia były, instrukcje były, analizy były. Ta decyzja może być uznana za sygnał, że choć “RODO lubi papier” to po incydencie może się okazać, że same papiery nie wystarczą…

Co robić, jak żyć?

Sprawdźcie swoje analizy ryzyka. Czy przewidują zgubienie dokumentów. Zweryfikujcie też, czy Wasi pracownicy, którzy mają dostęp do danych osobowych zostali odpowiednio przeszkoleni (a ich wiedza z tego zakresu została zweryfikowana) — jeśli nie, to dajcie znać na 12-44-202-44 lub szkolenia@niebezpiecznik.pl — możemy Wam udostępnić odpowiednią platformę, na której Wasi pracownicy przerobią szkolenie dot. ochrony danych osobowych (w tym ich zabezpieczania przed wyciekiem i szyfrowania) a potem będą musieli tę wiedzę potwierdzić w teście. Będzie dowód na to, że szkoliliście a wiedza została przekazana skutecznie.

A jeśli nie lubicie elearningu i wolicie, żebyśmy zrobili pierwszy życiu Waszej firmy wykład o RODO na którym nie uśniecie, to rzućcie okiem tutaj — bo właśnie ruszamy w Polskę i możemy do Was z tym wykładem podjechać.