Decyzją Prezesa UODO Sanepid w Policach ukarany karą w wysokości 20 tysięcy złotych

Gracjan Broda,
Ten adres pocztowy jest chroniony przed spamowaniem. Aby go zobaczyć, konieczne jest włączenie w przeglądarce obsługi JavaScript.

Zdaniem UODO administrator danych nie wdrożył odpowiednich zabezpieczeń technicznych i organizacyjnych, a także nie zapewnił ich regularnego testowania.

Przypomnijmy, że w 2023 roku Sanepid w Policach zgłosił naruszenie ochrony danych osobowych polegające na zagubieniu przez pracownika prywatnego pendrive’a. Nośnik nie był zaszyfrowany ani zabezpieczony hasłem i zawierał dane około 4,2 tys. osób, w tym informacje o stanie zdrowia pacjentów chorych na COVID-19, zgromadzone do 2021 roku. Na pendrive’ie znajdowały się również dane dotyczące około 300 postępowań administracyjnych prowadzonych przez Sanepid.

– Prezes UODO przeprowadził postępowanie wyjaśniające i wszczął postępowanie administracyjne, w toku którego ustalił m.in., że administrator danych nie przeprowadzał prawidłowo analizy ryzyka i nie miał odrębnych regulacji dotyczących zarządzania zewnętrznymi nośnikami danych. Używanie ich było po prostu zakazane. Ryzyko, że pracownik jednak z takiego nośnika skorzysta, oszacowano jako niskie i niewymagające podejmowania działań. Założenie to nie było odpowiednio testowane – czytamy w komunikacie Urzędu Ochrony Danych Osobowych.

Prezes UODO uznał zdarzenie za naruszenie zasady integralności i poufności danych osobowych.

– Dopiero gdy sprawą zajął się Prezes UODO, administrator sprawdził zabezpieczenia i zablokował możliwość kopiowania danych na nośniki zewnętrzne – czytamy w dalszej części opublikowanego komunikatu.

Na niekorzyść administratora, zdaniem Prezesa UODO, przemawiał również długi okres trwania naruszenia przepisów RODO. Choć nie stwierdzono działania umyślnego, organ nadzorczy uznał, że doszło do licznych zaniechań, które znacząco zwiększyły ryzyko naruszenia poufności przetwarzanych danych. Świadczy to o rażącym niedbalstwie i stanowi istotną okoliczność obciążającą.

Efektem postępowania przed Prezesem UODO jest nie tylko poprawa systemu ochrony danych osobowych u administratora, ale również nałożenie kary finansowej.

Udostępnij Artykuł: