W sądzie zgubili 2 nieszyfrowane pendrajwy. Na pendrajwach były projekty orzeczeń i uzasadnień, zawierające dane osobowe (za okres 2004 -> 2020). Kara z RODO – 30 000 zł

O sprawie donosi Rzeczpospolita, a szczegóły decyzji UODO można zobaczyć tutaj: Środki organizacyjne i techniczne powinny się uzupełniać.

Zaczęło się od zgłoszenia zagubienia dwóch nieszyfrowanych / prywatnych pendriveów przez pracowników Sądu Rejonowego Szczecin-Centrum. Sprawa była analizowana przez UODO, a teraz mamy decyzję – 30 000 zł kary:

Zgłoszone przez administratora naruszenie ochrony danych osobowych polegało na zaginięciu z pomieszczania, w którym X  wykonywał pracę, saszetki zawierającej trzy nośniki danych, jeden szyfrowany i dwa nieszyfrowane. Pomimo przeprowadzonych w Sądzie poszukiwań nie odnaleziono nośników danych

Warto zaznaczyć, że problem przenoszenia wrażliwych danych na prywatnych / nieszyfrowanych nośnikach USB został dostrzeżony w trakcie realizacji analizy ryzyka / audytów oraz uwzględniony w stosownych procedurach. A jak wiadomo w Polsce – „mamy procedury, to automatycznie jesteśmy zgodni z RODO” ;-). UODO ma jednak inne zdanie:

Podczas prowadzonego postępowania ustalono wieloletnie korzystanie na służbowym sprzęcie komputerowym z prywatnych nośników, niezabezpieczonych i niezweryfikowanych przez dział IT szczecińskiego sądu.

Ponadto okazało się, że administrator pomimo istniejących procedur dotyczących zakazu użytkowania prywatnych nośników danych nie prowadził nadzoru nad tym, czy pracownicy sądu stosowali się do wewnętrznych uregulowań.

W ocenie organu, gdyby administrator zweryfikował sposób realizacji środka organizacyjnego w postaci zakazu użytkowania prywatnych nośników danych, to wówczas znacząco obniżyłby ryzyko wystąpienia naruszenia albo nawet doprowadziłby do całkowitego jego wyeliminowania.  

Warto zaznaczyć, że Sąd podjął działania związane z ograniczeniem ryzyka w omawianym obszarze, ale wydaje się, że z było to realizowane z flegmą, charakterystyczną dla wielu organizacji administracji publicznej w Polsce…:

Należy także podkreślić, że Administrator już od grudnia 2019 r. dysponował programem umożliwiającym blokowanie portów USB, tj. programem o nazwie N . Taka blokada została wprowadzona w Sądzie jednak dopiero w październiku 2020 r., właśnie za pomocą programu N (umożliwiającego Działowi IT kontrolowanie nośników zewnętrznych oraz blokowanie stacji roboczych przed podłączeniem nieautoryzowanego sprzętu). Działanie wynikające z przeprowadzonej analizy ryzyka, mające na celu zminimalizowanie ryzyka zrealizowania się zidentyfikowanego zagrożenia związanego z możliwością użycia do przetwarzania danych osobowych prywatnego nośnika pamięci, zostało zatem podjęte po około 11 miesiącach od momentu zakupu ww. programu i przeprowadzenia analizy ryzyka (a dwa miesiące po zmaterializowaniu się zagrożenia). Podkreślenia również wymaga, iż po każdym z przeprowadzonych w Sądzie audytów, osoby je przeprowadzające identyfikowały ww. podatność i artykułowały zalecenia zablokowania portów USB dla zwiększenia bezpieczeństwa danych, w celu uniemożliwienia korzystania w Sądzie z prywatnych nośników danych.

Warto też zaznaczyć, że osoba która zgubiła nośnik była szkolona z ochrony danych osobowych, a nawet podpisała stosowne oświadczenie, gdzie zobowiązała się do:

nieprzesyłania danych na prywatne nośniki danych

TLDR: „no ten tego, trzeba odbębnić szkolenie RODO i podpisać jakieś kwity, no niech będzie”.

Na koniec pro tip od nas – OK, jeśli pracownicy będą przenosić wrażliwe dane na szyfrowanych pendrajwach, ale będą te dane kopiować na nieszyfrowane, prywatne laptopy… to wszystko na nic.

PS
Jeśli ktoś chciałby tanim kosztem szyfrować pendrivey – polecamy np. Bitlockera czy Veracrypt.