NSA: obowiązek testowania zabezpieczeń trwa przez cały okres przetwarzania danych

Stan faktyczny

Sprawa dotyczyła systemów informatycznych służących do rejestracji danych abonentów usług przedpłaconych. W grudniu 2019 r. administrator zgłosił Prezesowi UODO naruszenie polegające na uzyskaniu przez osobę nieuprawnioną dostępu do danych klientów. Obejmowało ono 142 222 rekordy potwierdzeń rejestracji, dotyczących 114 963 osób, w tym imiona i nazwiska, numery PESEL, dane dokumentów tożsamości, numery telefonów, numery NIP oraz nazwy podmiotów. Ze względu na zakres informacji incydent został zakwalifikowany jako powodujący wysokie ryzyko naruszenia praw i wolności osób fizycznych.

Prezes UODO przeprowadził kontrolę sposobu przetwarzania i zabezpieczenia danych. Ustalono, iż osoba nieuprawniona wykorzystała podatność usługi generującej potwierdzenia rejestracji kart. System nie weryfikował wszystkich parametrów wymaganych przed wygenerowaniem dokumentu zawierającego dane abonenta.

Kontrola wykazała również, iż w spółce nie prowadzono kompleksowego i regularnego testowania, mierzenia oraz oceniania skuteczności środków technicznych i organizacyjnych. Działania weryfikacyjne podejmowano głównie po pojawieniu się podejrzenia podatności albo w związku ze zmianami organizacyjnymi lub prawnymi. Nie testowano zabezpieczeń aplikacji i systemu związanych z podatnością wykorzystaną podczas incydentu. Działania te podjęto dopiero po wystąpieniu naruszenia. Dokumentacja administratora nie określała także zasad regularnego badania skuteczności zabezpieczeń.

Decyzją z 3.12.2020 r., sygn. DKN.5112.1.2020, Prezes UODO stwierdził niewdrożenie środków zapewniających poziom bezpieczeństwa odpowiadający ryzyku i nałożył karę w wysokości 1 968 524 zł. WSA w Warszawie wyrokiem z 21.10.2021 r., sygn. II SA/Wa 272/21, uchylił decyzję, nie kwestionując jednak oceny dotyczącej braku uregulowań zapewniających regularne testowanie zabezpieczeń. Powodem uchylenia było niedostateczne wyjaśnienie, dlaczego na wysokość kary nie wpłynęły okoliczności z art. 83 ust. 2 lit. c, e i h RODO, odnoszące się do minimalizowania szkody, wcześniejszych naruszeń oraz sposobu powzięcia przez organ wiedzy o naruszeniu.

Po ponownym rozpoznaniu sprawy Prezes UODO podtrzymał stanowisko i szerzej uzasadnił przesłanki wymiaru kary. Na P4, następcę prawnego Virgin Mobile Polska, nałożono karę 1 599 395 zł. WSA w Warszawie oddalił skargę wyrokiem z 21.6.2023 r., sygn. II SA/Wa 150/23, po czym spółka wniosła skargę kasacyjną do NSA.

Stan prawny

Podstawowe znaczenie miał art. 32 ust. 1 RODO, zobowiązujący administratora i podmiot przetwarzający do wdrożenia środków technicznych i organizacyjnych zapewniających bezpieczeństwo odpowiadające ryzyku, z uwzględnieniem stanu wiedzy technicznej, kosztów wdrożenia, charakteru i zakresu przetwarzania oraz możliwych konsekwencji dla osób fizycznych.

Artykuł 32 ust. 1 lit. b RODO wymienia zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów oraz usług przetwarzania. Artykuł 32 ust. 1 lit. d przewiduje natomiast regularne testowanie, mierzenie i ocenianie skuteczności środków bezpieczeństwa. Obowiązek ten nie ogranicza się do ich początkowego wdrożenia. Administrator powinien okresowo sprawdzać, czy przez cały czas działają prawidłowo i odpowiadają aktualnemu ryzyku.

Znaczenie miały także zasady integralności, poufności i rozliczalności z art. 5 ust. 1 lit. f oraz art. 5 ust. 2 RODO. Administrator powinien zapewnić bezpieczeństwo danych i umieć wykazać realizację tego obowiązku. Artykuł 24 ust. 1 RODO wymaga wdrożenia środków odpowiednich do ryzyka oraz poddawania ich przeglądom i aktualizacjom. Artykuł 25 ust. 1 RODO nakazuje uwzględniać ochronę danych zarówno przy określaniu sposobów przetwarzania, jak i podczas jego prowadzenia.

Dla ustalenia kary istotny był także art. 83 ust. 2 RODO. Wymienia on między innymi charakter, wagę i czas trwania naruszenia, działania ograniczające szkodę, wcześniejsze naruszenia, współpracę z organem oraz sposób, w jaki organ dowiedział się o naruszeniu.

Argumentacja organu oraz NSA

Zdaniem Prezesa UODO testowanie wyłącznie w reakcji na zagrożenia nie spełnia wymagania regularności. Nie wystarcza także aktualizowanie środków bezpieczeństwa jedynie po zmianach organizacyjnych lub prawnych. Zdarzenia te powinny prowadzić do ponownej analizy ryzyka, ale nie zastępują zaplanowanej kontroli skuteczności zabezpieczeń.

Regularność oznacza, iż testy powinny być planowane, organizowane i przeprowadzane w określonych odstępach czasu, niezależnie od incydentów lub zmian w organizacji. Zasada rozliczalności wymaga także ich dokumentowania. Samo posiadanie polityk i procedur nie wystarcza, o ile nie przewidują one okresowej oceny skuteczności stosowanych zabezpieczeń.

Organ uznał, iż podatność wykorzystana podczas incydentu mogła zostać wykryta przez sprawdzenie podstawowej zasady działania systemu. Brak takiej weryfikacji wskazywał, iż wcześniejsze przeglądy były nieskuteczne lub nie obejmowały istotnych elementów procesu. Podejście oparte na ryzyku nie zwalnia administratora z obowiązku sprawdzania, czy mechanizmy identyfikacji użytkowników i kontroli ich uprawnień działają zgodnie z założeniami.

NSA zaakceptował ustalony okres naruszenia. Za jego początek przyjęto 25.5.2018 r., czyli dzień rozpoczęcia stosowania RODO. Sąd uznał, iż administrator już wtedy powinien dysponować rozwiązaniami zapewniającymi regularne testowanie, mierzenie i ocenianie skuteczności zabezpieczeń. Okres poprzedzający rozpoczęcie stosowania RODO służył przygotowaniu istniejących procesów do nowych wymagań. Nie było więc podstaw do przyjęcia, iż administrator mógł rozpocząć wdrażanie systemu kontroli dopiero po 25.5.2018 r.

Za koniec naruszenia uznano 22.7.2020 r., czyli datę uzyskania certyfikacji. Rozwiązania wdrożone w związku z certyfikacją obejmowały okresowe audyty oraz mechanizmy regularnego testowania, mierzenia i oceniania skuteczności środków. Pozwoliło to przyjąć, iż stan naruszenia ustał w tej dacie.

NSA odniósł się także do sposobu, w jaki Prezes UODO dowiedział się o incydencie. Informacja pochodziła ze zgłoszenia administratora. Sąd zaakceptował ocenę, iż miało ono charakter neutralny, a nie łagodzący, ponieważ stanowiło wykonanie obowiązku wynikającego z RODO.

Rozstrzygnięcie

Wyrokiem z 7.5.2026 r., sygn. III OSK 2694/23, Naczelny Sąd Administracyjny oddalił skargę kasacyjną, uznając jej zarzuty za nieusprawiedliwione. Tym samym prawomocne stało się rozstrzygnięcie WSA oddalające skargę na ponowną decyzję Prezesa UODO, w której nałożono karę 1 599 395 zł. NSA potwierdził prawidłowość ustalenia okresu naruszenia oraz neutralnego charakteru zgłoszenia incydentu przy ocenie sposobu powzięcia przez organ wiedzy o naruszeniu. Zaakceptował również stanowisko, iż obowiązek regularnego badania skuteczności środków bezpieczeństwa powinien być realizowany od pierwszego dnia stosowania RODO.

Komentarz