Ochrona danych

UODO ukarał SPZOZ w P. karą 40 tys. zł za atak ransomware na dane pacjentów

Spór

Prezes UODO prowadził z urzędu postępowanie wobec Samodzielnego Publicznego Zespołu Opieki Zdrowotnej z siedzibą w P. w sprawie naruszenia ochrony danych osobowych w wyniku ataku ransomware z 10 lutego 2022 r.

Ustalenia sądu

Organ ustalił, że dane na serwerach i kopie zapasowe zostały zaszyfrowane, a zakład nie miał dokumentacji analizy ryzyka przed incydentem ani regularnych testów skuteczności zabezpieczeń. Zakład twierdził, że dane nie zostały wykradzione, ale organ uznał, że tego nie wykazał.

Rozstrzygnięcie

Prezes UODO stwierdził naruszenie art. 5 ust. 1 lit. f i ust. 2, art. 25 ust. 1, art. 32 ust. 1 i 2 oraz art. 34 ust. 1 RODO, nałożył karę 40 000 zł, nakazał zawiadomienie osób w ciągu 30 dni i dostosowanie operacji przetwarzania w ciągu 90 dni.

Dlaczego

Organ uznał, że brak analizy ryzyka uniemożliwia wykazanie zgodności z RODO, a ryzyko dla osób było wysokie ze względu na PESEL, dane zdrowotne i brak pewności, że dane nie zostały odczytane.

Dla firm

Administrator musi być w stanie wykazać przestrzeganie zasad przetwarzania danych, więc brak dowodów na analizę ryzyka i testowanie kopii zapasowych obciąża go w postępowaniu. Zaszyfrowanie danych przez ransomware to naruszenie ochrony danych, nawet gdy nie ustalono wykradzenia.

Więcej o sprawie

Zaszyfrowane zostały dane 30331 pacjentów i 1129 pracowników, razem z kopiami bezpieczeństwa. Administrator nie zawiadomił osób, których dane dotyczą, uznając, że ryzyka wysokiego nie było.

Rozstrzygnięcie

Kara 40 000 zł

Kara pieniężna

40 000 zł

Sąd

Prezes Urzędu Ochrony Danych Osobowych

Sygnatura

DKN.5131.57.2022

Treść orzeczenia

Krajowa Izba Odwoławcza publikuje orzeczenia bez anonimizacji, więc nie przepisujemy ich treści. Pełny tekst jest w pliku PDF w wyszukiwarce Urzędu Zamówień Publicznych: DKN.5131.57.2022 (PDF).

Hasła tematyczne: ochrona danych osobowych

Pełny tekst i metryka orzeczenia: Prezes UODO (orzeczenia.uodo.gov.pl). Tytuł i streszczenie przygotował model językowy na podstawie treści orzeczenia. Orzeczenie może być nieprawomocne.