PUODO nałożył 64 tys. zł kary na Wyższą Szkołę Logistyki w Poznaniu

W sierpniu 2025 pisaliśmy o drugiej największej karze nałożonej przez Prezesa Urzędu Ochrony Danych Osobowych. Ukarany na kwotę ponad 18 mln zł został ING Bank Śląski, a powodem było skanowanie dowodów osobistych klientów, a także potencjalnych klientów.

TLDR:

• Wyższa Szkoła Logistyki w Poznaniu otrzymała karę 64 652 zł za nieprawidłowości w analizie ryzyka i niewdrożenie odpowiednich środków ochrony danych osobowych.

• Przyczyną incydentu na uczelni było omyłkowe udostępnienie pliku z danymi 964 studentów poza grono uprawnionych osób.
• PUODO zwrócił uwagę, że analiza ryzyka powinna uwzględniać również ryzyko przypadkowego ujawnienia danych – zabrakło tego nawet po naruszeniu.

Rzecznik prasowy banku stwierdził, że działania te były niezbędne do realizacji obowiązków prawnych. Zapowiedziano zaskarżenie decyzji UODO do Wojewódzkiego Sądu Administracyjnego w Warszawie. Tak też się stało.

Prezes UODO wziął pod uwagę fakt, że od instytucji takiej jak bank należy oczekiwać profesjonalizmu w kwestii przetwarzania danych osobowych. Uznał, że administracyjna kara pieniężna w wysokości 18 416 400 zł jest karą skuteczną, proporcjonalną i odstraszającą. 

Mimo zaskarżenia jego decyzji, Wojewódzki Sąd Administracyjny przyznał rację prezesowi UODO. 23 października 2026 r. skarga złożona przez bank została oddalona, a tym samym decyzja PUODO nie została uchylona. Od wyroku WSA przysługuje jeszcze skarga kasacyjna do Naczelnego Sądu Administracyjnego.

ING Bank Śląski nie był jednak jedynym administratorem, u którego zabrakło oceny ryzyka. Wyższa Szkoła Logistyki w Poznaniu zgłosiła Prezesowi UODO naruszenie ochrony danych osobowych. Chodziło o udostępnienie nieuprawnionym podmiotom – w ramach platformy internetowej dziekanatu – pliku zawierającego dane osobowe 964 studentów. Dane dotyczyły osób, które zostały przyjęte na studia w poprzednim roku.

Plik z danymi został dołączony do komunikatu poświęconego przydziałom do grup specjalnościowych i językowych, co było wynikiem pomyłki pracownika dziekanatu. Na podstawie własnych ustaleń administrator stwierdził, że plik został otwarty przez 125 osób spośród 388, którym umożliwiono do niego dostęp, a pobrano go 361 razy.

W toku podjętych czynności Prezes UODO ustalił, że uczelnia nie przeprowadziła poprawnej analizy ryzyka, czego skutkiem było niewdrożenie odpowiednich środków technicznych i organizacyjnych, służących do zapewnienia bezpieczeństwa przetwarzanych danych.

Analizując przestrzeganie zasady poufności, administrator uwzględnił ryzyka dla praw oraz wolności takie jak np. awaria sprzętu, uszkodzenie systemu informatycznego, infekcja złośliwym oprogramowaniem oraz nieuprawniony dostęp do danych lub ich przeniesienie na zewnętrzny nośnik. Administrator w analizie ryzyka nie uwzględniał jednak np. omyłkowego ujawnienia danych. Nawet ponowna analiza ryzyka po zgłoszeniu incydentu objęła taki sam katalog zagrożeń co poprzednio i nie została zaktualizowana.

Organ nadzorczy potraktował takie zaniedbania jako naruszenie zasady integralności i poufności oraz zasady rozliczalności. Choć Wyższa Szkoła Logistyki w Poznaniu przekazała, że na uczelni odbywały się wybiórcze kontrole sposobów przesyłania informacji do studentów, oświadczenie administratora nie zostało poparte żadnym dowodem.

Prezes UODO Mirosław Wróblewski zdecydował więc o nałożeniu na administratora kary pieniężnej w wysokości 64 652 zł. Administratorowi nakazano także dostosowanie operacji przetwarzania do przepisów RODO poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych w celu zminimalizowania ryzyka wiążącego się z przetwarzaniem danych osobowych.

Źródła:

• uodo.gov.pl
• uodo.gov.pl

~Tymoteusz Jóźwiak

Miniatura wygenerowana za pośrednictwem AI.