Karę 10 tys. zł nałożono na Prezesa jednego z sądów rejonowych za niewłaściwą organizację zabezpieczeń służbowych nośników z danymi. W ocenie organu nadzorczego to prezes sądu odpowiada za wdrożenie odpowiednich środków technicznych i organizacyjnych, zapewniających bezpieczeństwo danych.
Prezes Sądu Rejonowego w Zgierzu zgłosił naruszenie ochrony danych polegające na zagubieniu nieszyfrowanej przenośnej pamięci typu pendrive przez kuratora sądowego. Jak ustalono, na nośniku przechowywane były dane osobowe 400 osób, podlegających nadzorowi kuratorskiemu i objętych wywiadem środowiskowym. Zakres danych osobowych objętych naruszeniem był znaczny, co wiązało się z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych. Administrator wypełnił więc obowiązek poinformowania podmiotów danych o naruszeniu, publikując stosowny komunikat na stronie WWW sądu.
Nośnik danych do tej pory nie został odnaleziony, co oznacza, że osoby nieuprawnione nadal mogą mieć dostęp do danych osobowych znajdujących się na tym nośniku.
W toku postępowania administrator wyjaśniał, że wdrożył system ochrony danych osobowych w postaci zasad przetwarzania danych osobowych. Dokumentacja ta miała być na bieżąco aktualizowana i audytowana przez powołanego do tego celu inspektora ochrony danych. Administrator oświadczył również, że organizował szkolenia stacjonarne oraz e-learningowe dla pracowników Sądu (w tym kuratorów), dotyczące ochrony danych osobowych oraz zapisów wdrożonej dokumentacji, dyżurów pełnionych przez inspektora ochrony danych w siedzibie administratora, dyżurów on-line oraz doraźnych kontroli prowadzonych przez inspektora ochrony danych podczas dyżurów.
Prezes UODO wskazał jednak, że to administrator winien był zapewnić pracownikom zabezpieczenie nośników. Tak się nie stało, co w ocenie Prezesa UODO oznaczało, że doszło do naruszenia poufności i integralności danych osobowych polegającego na wydaniu do użytku służbowego kuratorom sądowym niezabezpieczonego przenośnego nośnika pamięci oraz zobowiązanie ich do wdrożenia zabezpieczeń tej pamięci we własnym zakresie.
Same szkolenia pracowników w ocenie organu nadzorczego nie było wystarczające. Administrator powinien choćby wskazać przykładowe zabezpieczenia, które pracownik może zastosować na danym nośniku.
Jak wskazuje Prezes UODO, to administrator danych, a nie pracownik lub osoba wykonująca zadania służbowe, jest zobowiązany do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z wymaganiami RODO.
Przechowywanie danych w chmurze polega na zapisywaniu i zarządzaniu danymi na zdalnych serwerach, które są dostępne przez internet. Zamiast przechowywać pliki na lokalnych dyskach twardych lub serwerach, użytkownicy mogą korzystać z infrastruktury dostarczanej przez dostawców usług chmurowych. Jest to wygodne i efektywne rozwiązanie, które zapewnia dostęp do danych z dowolnego miejsca, elastyczność, skalowalność oraz wysoki poziom bezpieczeństwa i niezawodności.
© Portal Poradyodo.pl
