- Sygnatura akt
- DKN.5131.11.2022
- Sąd
- Prezes Urzędu Ochrony Danych Osobowych
- Rodzaj
- Decyzja
- Data orzeczenia
- 23 czerwca 2022 r.
- Rozstrzygnięcie
- Upomnienie
- Opublikowano w portalu
- 9 maja 2023 r.
- W serwisie od
Zestawienie z tego dnia- Kategorie
- Ochrona danych
© autorzy OpenStreetMap
UODO udzielił upomnienia Prezydentowi Miasta O. po ataku ransomware na serwery urzędu
Spór
Prezes UODO wszczął z urzędu postępowanie wobec Prezydenta Miasta O. po zgłoszeniu naruszenia ochrony danych osobowych z października 2021 r.
Ustalenia sądu
Złośliwe oprogramowanie zaszyfrowało trzy serwery z danymi około 50 000 rekordów, a atak przeszedł przez urządzenie z systemem bez aktualizacji. Organ ustalił, że administrator stosował też inne systemy bez wsparcia producenta, nie prowadził regularnych testów zabezpieczeń, a odtworzenie danych z kopii trwało prawie miesiąc. Administrator wskazywał, że jego działania były wystarczające i wdrożył dodatkowe środki po incydencie.
Rozstrzygnięcie
Prezes UODO udzielił Prezydentowi Miasta O. upomnienia za naruszenie art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 rozporządzenia 2016/679.
Dlaczego
Organ uznał, że analiza ryzyka nie objęła używania systemów bez wsparcia producenta, a zabezpieczenia i testy były niewystarczające. Jako okoliczności łagodzące wskazano podjęte działania naprawcze, zgłoszenie naruszenia i brak ustalonej szkody osób, których dane dotyczą.
Dla firm
Administrator ma regularnie testować i oceniać skuteczność zabezpieczeń, a oprogramowanie bez wsparcia producenta i bez aktualizacji zwiększa ryzyko wycieku danych.
Więcej o sprawie
Zaszyfrowano trzy serwery z około 50 tys. rekordów, w tym numerów PESEL i danych o zarobkach. Audyt wskazał prawdopodobne źródło: urządzenie do wydawania kluczy z nieaktualnym systemem.
- Rozstrzygnięcie
- Upomnienie
- Sąd
- Prezes Urzędu Ochrony Danych Osobowych
- Sygnatura
- DKN.5131.11.2022
Treść orzeczenia
Krajowa Izba Odwoławcza publikuje orzeczenia bez anonimizacji, więc nie przepisujemy ich treści. Pełny tekst jest w pliku PDF w wyszukiwarce Urzędu Zamówień Publicznych: DKN.5131.11.2022 (PDF).
Hasła tematyczne: ochrona danych osobowych
320 dni od wyroku do publikacji
- Wyrok 23 czerwca 2022 r.
- Portal: 9 maja 2023 r.
Pełny tekst i metryka orzeczenia: Prezes UODO (orzeczenia.uodo.gov.pl). Tytuł i streszczenie przygotował model językowy na podstawie treści orzeczenia. Orzeczenie może być nieprawomocne.