Kara za brak analizy ryzyka i regularnego testowania zabezpieczeń poczty elektronicznej

Stan faktyczny

Administrator prowadził działalność rachunkowo-księgową i doradztwo podatkowe. Przetwarzał dane klientów, ich pracowników oraz dzieci zgłaszanych do ubezpieczenia zdrowotnego, również za pośrednictwem poczty elektronicznej.

21.1.2021 r. stwierdził naruszenie ochrony danych osobowych, które następnie zgłosił Prezesowi UODO. Osoba nieuprawniona uzyskała dostęp do konta e-mail jednego z pracowników. W skrzynce znajdowały się dane 111 osób, obejmujące m.in. dane identyfikacyjne, kontaktowe, finansowe i dotyczące zatrudnienia, a także informacje zawarte w paszportach, świadectwach pracy, formularzach PCC-3 i kwestionariuszach osobowych.

Z przejętego konta wysyłano spam. Pracownik nie logował się do niego w czasie wysyłki, a dostawca hostingu zablokował skrzynkę po uruchomieniu automatycznego mechanizmu zabezpieczającego.

Administrator twierdził, iż nie potwierdzono pozyskania danych przez osobę nieuprawnioną. Nie potrafił jednak ustalić okoliczności i czasu trwania dostępu ani tego, czy dane zostały odczytane lub skopiowane. Nie posiadał logów ani innych środków umożliwiających odtworzenie przebiegu zdarzenia, a przedstawione oświadczenie specjalisty IT nie wskazywało zakresu i metod przeprowadzonej weryfikacji.

Postępowanie wykazało również, iż przed incydentem administrator nie przeprowadził analizy ryzyka, nie posiadał odrębnych wewnętrznych regulacji dotyczących ochrony danych i nie testował regularnie skuteczności zabezpieczeń. Wskazywał jedynie na działania techniczne podejmowane przez dostawcę hostingu.

Po ujawnieniu naruszenia przeprowadzono audyt infrastruktury informatycznej, sporządzono analizę ryzyka i wdrożono politykę bezpieczeństwa informacji. Następnie przyjęto procedurę nadawania haseł, politykę czystego biurka i ekranu, przeprowadzono szkolenia oraz rozpoczęto dokumentowanie kontroli zabezpieczeń. W 2023 r. audytem objęto także procedury i dokumentację.

Stan prawny

Podstawowe znaczenie dla oceny sprawy miały zasady integralności i poufności oraz rozliczalności, określone w art. 5 ust. 1 lit. f i art. 5 ust. 2 RODO. Administrator ma obowiązek zapewnić ochronę danych przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przed przypadkową utratą, zniszczeniem lub uszkodzeniem. Powinien również być w stanie wykazać przestrzeganie tych wymagań.

Artykuł 24 ust. 1 RODO nakazuje wdrożenie środków technicznych i organizacyjnych odpowiednich do charakteru, zakresu, kontekstu i celów przetwarzania oraz do ryzyka naruszenia praw lub wolności osób fizycznych. Środki te powinny być w razie potrzeby przeglądane i aktualizowane.

Zgodnie z art. 25 ust. 1 RODO ochrona danych powinna być uwzględniana zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania. Administrator powinien uwzględnić stan wiedzy technicznej, koszt wdrożenia, charakter operacji oraz związane z nimi ryzyko.

Obowiązki dotyczące bezpieczeństwa konkretyzuje art. 32 ust. 1 i 2 RODO. Dobór zabezpieczeń wymaga najpierw określenia poziomu ryzyka, a następnie zastosowania środków zapewniających poziom bezpieczeństwa odpowiadający temu ryzyku. Analiza powinna uwzględniać między innymi zagrożenia, podatności, zakres danych i możliwe następstwa ich utraty, ujawnienia, zmiany lub nieuprawnionego dostępu.

Elementem systemu bezpieczeństwa jest również regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych. Obowiązek ten wynika z art. 32 ust. 1 lit. d RODO. Nie wystarcza zatem jednorazowe wdrożenie zabezpieczeń. Administrator powinien okresowo weryfikować ich adekwatność i skuteczność oraz dokumentować podejmowane działania.

Prezes UODO odwołał się również do orzecznictwa sądów administracyjnych, zgodnie z którym art. 32 RODO wymaga zastosowania środków adekwatnych i proporcjonalnych do ryzyka. Ich wybór należy do administratora. Organ nadzorczy nie musi wskazywać konkretnych rozwiązań, ale może oceniać ich prawidłowość na podstawie analizy ryzyka, polityk, procedur i innych dowodów realizacji obowiązków.

Argumentacja

Prezes UODO wskazał, iż zgłoszenie incydentu było impulsem do zbadania, czy administrator prawidłowo zorganizował ochronę danych przetwarzanych elektronicznie. Przedmiotem postępowania nie było wyłącznie ustalenie, czy osoba nieuprawniona pobrała dane z konkretnej skrzynki. Organ oceniał przede wszystkim, czy administrator dochował obowiązków wynikających z art. 24, 25 i 32 RODO.

Z tego względu twierdzenie, iż nie potwierdzono skopiowania danych, nie miało rozstrzygającego znaczenia dla stwierdzenia naruszenia obowiązków w zakresie bezpieczeństwa. Odpowiedzialność za naruszenie art. 32 RODO wiąże się z niedochowaniem odpowiedniego standardu zabezpieczeń, a nie wyłącznie z wystąpieniem udokumentowanej szkody lub potwierdzonym wykorzystaniem danych.

Organ odniósł się także do kwalifikacji samego incydentu. Definicja naruszenia ochrony danych z art. 4 pkt 12 RODO obejmuje między innymi nieuprawniony dostęp do danych. Ze zgromadzonego materiału wynikało, iż skrzynka została wykorzystana przez osobę inną niż uprawniony pracownik. Brak dowodu skopiowania danych nie oznaczał zatem, iż nie doszło do naruszenia ich ochrony.

Zasadniczym uchybieniem był brak analizy ryzyka poprzedzającej dobór zabezpieczeń. Administrator przetwarzał szeroki zakres danych identyfikacyjnych, finansowych, kontaktowych i związanych z zatrudnieniem, w tym numery PESEL oraz dane dzieci. Organ uznał, iż ujawnienie lub utrata dostępności takich informacji mogły powodować wysokie ryzyko dla praw lub wolności osób fizycznych.

Bez udokumentowanego rozpoznania zagrożeń administrator nie mógł wykazać, iż stosowane przez niego rozwiązania były odpowiednie. Prezes UODO przyjął, iż brak analizy ryzyka prowadził do doboru zabezpieczeń bez powiązania ich z oceną charakteru danych, podatności systemów i możliwych skutków incydentu. Analizę przeprowadzono dopiero po wystąpieniu naruszenia.

Odrębnym uchybieniem był brak regularnego testowania, mierzenia i oceniania skuteczności zabezpieczeń. Organ nie zaakceptował argumentu, iż działania w tym zakresie wykonywał dostawca hostingu. Obowiązki administratora i podmiotu przetwarzającego są odrębne. Administrator nie może zwolnić się z odpowiedzialności przez powołanie się na czynności dostawcy usług.

Działania hostingodawcy dotyczyły ponadto środków technicznych, podczas gdy wymagane testowanie powinno obejmować również środki organizacyjne, w tym polityki, procedury i zasady postępowania. Pierwszym działaniem zmierzającym do realizacji tego obowiązku był audyt infrastruktury z listopada 2021 r. Pełniejsza weryfikacja, obejmująca także dokumentację i procedury, nastąpiła w 2023 r.

Rozstrzygnięcie

Prezes UODO stwierdził naruszenie art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO. Polegało ono na niewdrożeniu zabezpieczeń poczty elektronicznej dobranych na podstawie analizy ryzyka oraz na niezapewnieniu regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych.

Uchybienia te skutkowały również naruszeniem zasady integralności i poufności z art. 5 ust. 1 lit. f RODO oraz zasady rozliczalności z art. 5 ust. 2 RODO. Za stwierdzone naruszenia organ nałożył na administratora administracyjną karę pieniężną w wysokości 11 594 zł. Decyzja jest nieprawomocna.