- Sygnatura akt
- DKN.5130.2815.2020
- Sąd
- Prezes Urzędu Ochrony Danych Osobowych
- Rodzaj
- Decyzja
- Data orzeczenia
- 11 stycznia 2021 r.
- Rozstrzygnięcie
- Upomnienie
- Opublikowano w portalu
- 17 lutego 2021 r.
- W serwisie od
Zestawienie z tego dnia- Kategorie
- Ochrona danych
© autorzy OpenStreetMap
Prezes UODO udzielił Spółce U. S.A. upomnienia za słabe zabezpieczenia danych
Spór
Prezes UODO prowadził z urzędu postępowanie wobec U. S.A. w sprawie bezpieczeństwa danych po incydencie z kwietnia 2020 r., w którym zaszyfrowano około 80 000 rekordów pracowników, klientów i pacjentów.
Ustalenia sądu
Spółka korzystała z systemu operacyjnego E i systemu baz danych B, dla których producent zakończył wsparcie techniczne odpowiednio w styczniu 2020 r. i w lipcu 2019 r. Testy prowadzone przez spółkę nie obejmowały w pełni zabezpieczeń systemów przetwarzających dane osobowe i nie były dokumentowane. Spółka twierdziła, że nie zaobserwowano wyprowadzenia danych, a osoby, których dane dotyczą, nie poniosły szkody, bo uzdrowisko nie świadczyło wówczas usług.
Rozstrzygnięcie
Prezes UODO stwierdził naruszenie art. 5 ust. 1 lit. f) w zw. z art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO i udzielił Spółce upomnienia, bez kary pieniężnej.
Dlaczego
Organ uznał, że spółka nie wdrożyła odpowiednich środków technicznych i organizacyjnych, a brak wsparcia producenta istotnie obniżył poziom bezpieczeństwa. Za łagodzące uznano podjęte działania naprawcze, zgłoszenie naruszenia i jednorazowy charakter zdarzenia.
Dla firm
Analiza ryzyka powinna uwzględniać zaszyfrowanie danych przez złośliwe oprogramowanie. Środki bezpieczeństwa trzeba regularnie testować i mierzyć ich skuteczność, w tym pod kątem podatności i ich możliwych skutków.
Więcej o sprawie
Zaszyfrowane bazy obejmowały około 80 000 rekordów pracowników, klientów i pacjentów, w tym dane dotyczące zdrowia. Spółka nie zawiadomiła osób, których dane dotyczą, bo uznała, że odzyskała zaszyfrowane dane.
- Rozstrzygnięcie
- Upomnienie
- Sąd
- Prezes Urzędu Ochrony Danych Osobowych
- Sygnatura
- DKN.5130.2815.2020
Treść orzeczenia
Krajowa Izba Odwoławcza publikuje orzeczenia bez anonimizacji, więc nie przepisujemy ich treści. Pełny tekst jest w pliku PDF w wyszukiwarce Urzędu Zamówień Publicznych: DKN.5130.2815.2020 (PDF).
Hasła tematyczne: ochrona danych osobowych
37 dni od wyroku do publikacji
- Wyrok 11 stycznia 2021 r.
- Portal: 17 lutego 2021 r.
Pełny tekst i metryka orzeczenia: Prezes UODO (orzeczenia.uodo.gov.pl). Tytuł i streszczenie przygotował model językowy na podstawie treści orzeczenia. Orzeczenie może być nieprawomocne.