Pracownik zgubił pendrive z danymi osobowymi / finansowymi jednego pracownika. Kara z RODO: ~240 000 zł.

O zdarzeniu poinformowała UODO sama firma – Res-Gastro M. Gaweł Sp. k. z Kolbuszowej (firma w szczególności prowadzi kilka lokali McDonalds). Poniżej kilka fragmentów z informacji przekazanych przez UODO:

❌ „Pracownik tej firmy zgubił pendrive’a, na którym znajdowały się niezaszyfrowane pliki zawierające dane osobowe innego pracownika, a mianowicie:

imię i nazwisko, adres, obywatelstwo, płeć, data urodzenia, numer PESEL, seria i numer paszportu, numer telefonu, adres e-mail, zdjęcia oraz dane dotyczące wysokości zarobków. Na pendrive’ie znajdowały się też zaszyfrowane pliki z danymi finansowymi.”

❌ „O tym, jak szyfrować pliki, firma informowała pracowników na filmie instruktażowym. A to, jak zauważył UODO, przerzucało na nich odpowiedzialność za sposób przetwarzania danych.”

❌ „Prezes UODO ustalił, że firma źle oceniła ryzyko dla danych. Założono, że nośniki danych mogą być skradzione albo zniszczone – nie wzięto jednak pod uwagę tego, że nośnik można po prostu zgubić bez złych intencji.”

❌ „Firma nie dopełniła obowiązku regularnego mierzenia, testowania i oceniania skuteczności zastosowanych środków bezpieczeństwa.”

Swoją drogą, nawet biorąc pod uwagę przychody firmy, kara wydaje się być spora (szczególnie biorąc pod uwagę, że firma sama zgłosiła incydent; warto też pamiętać że kara może być ustalona na podstawie przychodów danej firmy). Co o tym myślicie?

Kilka rad na koniec:

• Pendrive-y można szyfrować np. Bitlockerem (dostępny w Windows Pro). Można też utworzyć archiwum (np. 7zip). Z odpowiednio bezpiecznym hasłem
• Pamiętaj o odpowiednio silnym haśle do szyfrowania pendrive-a (minimalnie > 12 znaków, idealnie >= 15 znaków; 3-4 sklejone ze sobą losowe słowa wystarczą). Hasło możesz zapisać w managerze haseł.
• Nie używaj prywatnych pendriveów do przenoszenia danych firmowych
• Nie korzystaj prywatnej skrzynki pocztowej (prywatnego google drive czy podobnych mechanizmów) do przechowywania danych (maili) firmowych ( taki „pendrive w chmurze”)
• Jeśli zauważyłeś jakieś wrażliwe dane na pendrive (nieszyfrowane), to można je usunąć za pomocą „pełnego formatowania” (prawy przycisk myszy na ikonie pendrive-a; domyślnie zaznaczone jest „szybkie formatowanie” – które nie usuwa danych)
• Od strony administracyjnej (IT) – można rozważyć całkowite zablokowanie portów USB
• Warto też od czasu do czasu testować czy wiemy jak postępować z danymi wrażliwymi (np. jak w bezpieczny sposób przesłać e-maila do kontrahenta, jak dostarczyć mu dane osobowe wymagane do realizacji umowy, etc).

~ms