Ochrona danych

Prezes UODO ukarał uczelnię w K. na 35 000 zł za wyciek danych studentów z aplikacji

Spór

Prezes UODO prowadził z urzędu postępowanie wobec Szkoły w K. w sprawie naruszenia ochrony danych osobowych w aplikacji I., modułu systemu R.

Ustalenia sądu

Organ ustalił, że podczas przenoszenia systemu na nowy serwer kontrola dostępu została wyłączona i przez przeoczenie trafiła na produkcję. Uczelnia nie prowadziła sformalizowanej analizy ryzyka przed naruszeniem, a zmiany testował programista, a następnie inna osoba sprawdzała jedynie działanie aplikacji.

Rozstrzygnięcie

Prezes UODO stwierdził naruszenie art. 5 ust. 1 lit. f) i ust. 2, art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO i nałożył na Szkołę karę pieniężną w kwocie 35 000 zł.

Dlaczego

Organ uznał, że Uczelnia nie wykazała, iż zastosowane środki były adekwatne do ryzyka, a brak analizy ryzyka i regularnego testowania oznaczał naruszenie zasad rozliczalności i poufności. Karę ustalono z uwzględnieniem dużej liczby osób, długiego okresu naruszenia i zakresu danych.

Dla firm

Zmiany wdrażane na serwer produkcyjny powinny być sprawdzane według udokumentowanej procedury, a skuteczność zabezpieczeń trzeba regularnie testować. Sam brak takich procedur kosztował karę.

Więcej o sprawie

Dane trafiły do sieci przez błąd przy przenoszeniu systemu R. na nowy serwer, bo kontrola dostępu została wtedy wyłączona. Zmiany testował jeden programista.

Rozstrzygnięcie

Kara 35 000 zł

Kara pieniężna

35 000 zł

Sąd

Prezes Urzędu Ochrony Danych Osobowych

Sygnatura

DKN.5131.26.2023

Treść orzeczenia

Krajowa Izba Odwoławcza publikuje orzeczenia bez anonimizacji, więc nie przepisujemy ich treści. Pełny tekst jest w pliku PDF w wyszukiwarce Urzędu Zamówień Publicznych: DKN.5131.26.2023 (PDF).

Hasła tematyczne: ochrona danych osobowych

83 dni od wyroku do publikacji

1. Wyrok 30 listopada 2023 r.
2. Po 38 dniach trafia do portalu połowa orzeczeń
3. Portal: 21 lutego 2024 r.

Pełny tekst i metryka orzeczenia: Prezes UODO (orzeczenia.uodo.gov.pl). Tytuł i streszczenie przygotował model językowy na podstawie treści orzeczenia. Orzeczenie może być nieprawomocne.