REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Zabezpieczenie danych osobowych ciąży na administratorze, a nie pracowniku - NSA

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Dane osobowe na pendrive - zgubione i kara za niewłaściwie wdrożenie zabezpieczeń technicznych i organizacyjnych przez administratora
Dane osobowe na pendrive - zgubione i kara za niewłaściwie wdrożenie zabezpieczeń technicznych i organizacyjnych przez administratora
ShutterStock

REKLAMA

REKLAMA

Administrator danych nie może wyręczać się pracownikiem w ustalaniu sposobów zabezpieczenia danych - NSA oddalił skargę kasacyjną Prezesa Sądu Rejonowego w Zgierzu od wyroku WSA w Warszawie. Tym samym podtrzymał decyzję Prezesa UODO w sprawie nałożenia kary za brak odpowiednich zabezpieczeń.

Kurator sądowy zgubił pendrive'a z danymi 400 osób

Cała sprawa zaczęła się, gdy w lutym 2020 r. kurator sądowy w Zgierzu zgubił niezaszyfrowanego pendrive’a z danymi osobowymi 400 osób. Były tam: imiona i nazwiska, daty urodzenia, adresy zamieszkania lub pobytu, numery PESEL, dane o zarobkach i/lub majątku, numeru dowodów osobistych, telefonów, dane o zdrowiu i wyrokach skazujących.

REKLAMA

Autopromocja

Prezes Sądu Rejonowego – administrator danych – zgłosił to naruszenie ochrony danych do Prezesa UODO i poinformował o nim osoby, których dane znajdowały się na zgubionym nośniku. PUODO po analizie stwierdził, że administrator nie wypełnił tego obowiązku prawidłowo: nie poinformował odpowiednio o możliwych konsekwencji naruszenia ochrony danych osobowych oraz o tym, co zrobił administrator, by zminimalizować skutki naruszenia.

Niewłaściwie wdrożenie zabezpieczeń technicznych i organizacyjnych przez administratora

Kluczowe było jednak ustalenie, co działo się w sądzie przed incydentem. Prezes UODO ustalił, że administrator niewłaściwie wdrożył zabezpieczenia techniczne i organizacyjne. Otóż zgodnie z procedurami funkcjonującymi w sądzie w Zgierzu obowiązek zabezpieczenia służbowego nośnika zawierającego dane osobowe spoczywał na samych użytkownikach (pracownikach). Obowiązek ewidencjonowania i szyfrowania nośników został zaś wprowadzony dopiero po tym, jak kurator zgubił swój pendrive.

Ważne

Obowiązek ewidencjonowania i szyfrowania nośników został zaś wprowadzony dopiero po tym, jak kurator zgubił swój pendrive.

Wcześniej pracownicy zostali po prostu przeszkoleni w zakresie ochrony danych. Tymczasem, jak zauważył Prezes UODO, jednorazowe szkolenie nie wystarczy. Nie gwarantuje, że pracownik nie będzie przenosić danych na niezabezpieczonym nośniku. W omawianym przypadku pracownik chronił dane, nosząc pendrive w zamykanej torbie.

Błędy administratora danych

Administrator:

Dalszy ciąg materiału pod wideo
  • nie zrobił odpowiedniej analizy ryzyka, więc nie mógł we właściwy sposób dążyć do jego minimalizacji;
  • ograniczył się do zabezpieczeń organizacyjnych (procedury, szkolenia), nie weryfikując ich skuteczności;
  • nie wdrożył zaś zabezpieczeń technicznych takich jak szyfrowanie, czy sprawdzanie nośników.

Wszystko to było nieadekwatne wobec ryzyka utraty lub zniszczenia tych danych. Zarówno w zakresie prawdopodobieństwa takiego zdarzenia jak i jego konsekwencji. Sądy przypominają, czym jest analiza oparta na ryzyku. 

Kara 10 tys. zł i skarga kasacyjna

Prezes UODO stwierdził naruszenie przepisów RODO (art. 5 ust. 1 lit. f), art. 25 ust, 1, art. 32 ust. 1 lit. b i lit. d) i nałożył na podmiot karę w wysokości 10 tys. zł. Jednak Prezes Sądu Rejonowego w Zgierzu zaskarżył tę decyzję do WSA. Z uwagi na to, iż WSA poparł stanowisko organu, administrator wniósł skargę kasacyjną do NSA. 

Brak szyfrowanych nośników danych

Skargi zostały oddalone przez sądy obu instancji. WSA w Warszawie w wyroku przypomniał, że administratorzy, przetwarzając dane osobowe, muszą doprowadzić do tego, by procesy przetwarzania danych były zgodne z RODO. W tym celu powinni wdrożyć organizacyjne i techniczne środki bezpieczeństwa. Tymczasem w przedmiotowej sprawie administrator ograniczył się do wydania niezabezpieczonych nośników pamięci oraz zobowiązania kuratorów sądowych do wdrożenia zabezpieczeń tej pamięci we własnym zakresie. To nie wystarczyło, bo w przypadku zgubienia nośnika dostęp do danych mogły zyskać osoby nieuprawnione.

Z kolei NSA podkreślił, że wyposażenie kuratorów sądowych w szyfrowane nośniki pamięci zminimalizowałoby ryzyko naruszenia zasad poufności danych osobowych. Nawet w przypadku ich zgubienia. Takie rozwiązanie było dostępne, bo nie jest kosztowne, a sąd miał na ten temat odpowiednią wiedzę.

Do tego nawet ta analiza ryzyka, którą prezes sądu jako administrator danych przeprowadził, dowodzi, że ryzyko zagubienia nośników zostało zidentyfikowane. Tymczasem administrator nie wdrożył środków bezpieczeństwa adekwatnych do tego ryzyka.

W sprawie nie chodziło o karę za to, że administrator nie zapobiegł zagubieniu nośników, lecz o ochronę danych osobowych w przypadku zagubienia nośników.

NSA, sygn. akt III OSK 2654/22 dot. skargi kasacyjnej Prezesa Sądu Rejonowego w Zgierzu od wyroku WSA w Warszawie z dnia 15 lutego 2022 r., sygn. akt II SA/Wa 3309//21

oprac. Emilia Panufnik
Zapisz się na newsletter
Kodeks pracy, urlopy, wynagrodzenia, świadczenia pracownicze. Bądź na bieżąco ze zmianami z zakresu prawa pracy. Zapisz się na nasz newsletter.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

Uprawnienia rodzicielskie - QUIZ
certificate
Jak zdobyć Certyfikat:
  • Czytaj artykuły
  • Rozwiązuj testy
  • Zdobądź certyfikat
1/10
Ile tygodni urlopu macierzyńskiego można maksymalnie wykorzystać jeszcze przed porodem?
nie ma takiej możliwości
3
6
9 - tylko jeśli pracodawca wyrazi na to zgodę
Następne

REKLAMA

Kadry
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Urlop wypoczynkowy 2025 i 2026 [dla pracownika poniżej i powyżej 18 roku życia, w wieku emerytalnym, osób niepełnosprawnych]

Jednym z praw przysługujących pracownikom jest prawo do urlopu wypoczynkowego. Urlop jest udzielany w wymiarze zależnym od stażu pracy pracownika i – w pewnym sensie – jego wykształcenia. Wpływ na wymiar urlopu może mieć także wiek pracownika i niepełnosprawność.

Ważne terminy na kwiecień 2025 r. dla pracodawcy i pracownika

Od 1 kwietnia zaczął się kolejny II kwartał w 2025 r. W kwietniu jest sporo ważnych terminów, o których muszą pamiętać w szczególności pracodawcy, ale i pracownicy bo te kwestie z zakresu prawa pracy i ubezpieczeń społecznych dotyczą ich bezpośrednio. Podpowiadamy jakie dokumenty powinny wygenerować, złożyć działy księgowe czy kadr oraz jakie należności i składki powinny być opłacone w kwietniu 2025 r.

MRPiPS: negatywnie opiniuje petycję w sprawie dobrowolnego ubezpieczenia chorobowego przedsiębiorców

Poznaliśmy długo wyczekiwaną odpowiedź z Ministerstwa Rodziny, Pracy i Polityki Społecznej w zakresie dobrowolnego ubezpieczenia chorobowego przedsiębiorców, w szczególności jednocześnie zatrudnionych na część etatu. Stanowisko wyrażone przez resort pracy nie jest zadowalające dla przedsiębiorców. Nie takiej odpowiedzi oczekiwali.

Uwaga: zaczęła się inwazja kleszczy. Ukąszenie kleszcza może powodować chorobę zawodową, wypadek przy pracy i świadczenia z ZUS

Jak podaje w swoim komunikacje Powiatowa Stacja Sanitarno-Epidemiologiczna zaczął się już "sezon" na kleszcze. Nie wiele osób wie, ale ukąszenie kleszcza może powodować chorobę zawodową czy nawet wypadek przy pracy, a co się z tym wiąże możliwość otrzymywania świadczenia z ZUS czy KRUS. Przytaczamy też mity dotyczące kleszczy ale i niezbędne informacje.

REKLAMA

Co się należy oprócz wynagrodzenia? 3 świadczenia wynikające ze stosunku pracy

Wynagrodzenie to świadczenie dla pracownika wynikające ze stosunku pracy. Przepisy prawa pracy przewidują jeszcze trzy inne świadczenia, które należą się pracownikowi. Jakie i co należy o nich wiedzieć?

Tylko 169 zł. Tyle wynosi składka na ubezpieczenie emerytalno-rentowe w II kwartale 2025 r., ale nie dla wszystkich

Tylko 169 zł. Tak, tyle wynosi składka na ubezpieczenie emerytalno-rentowe w II kwartale 2025 r. Oczywiście nie dotyczy to wszystkich ubezpieczonych. Niby stawka jest niska, ale z drugiej strony w przyszłości emerytura czy renta też będzie niska. Czy warto?

Nowe stawki odszkodowania z ZUS 2025 i 2026

Od 1 kwietnia 2025 r. odszkodowania z ZUS są wyższe. Ile ZUS wypłaci za każdy procent stałego lub długotrwałego uszczerbku na zdrowiu? Oto nowe stawki odszkodowania z ZUS 2025 i 2026.

Aktywnie w żłobku. Maksymalny koszt pobytu dziecka w żłobku wynosi 2200 zł

2200 zł - tyle wynosi wysokość kosztu pobytu dziecka w żłobku w okresie od 1 kwietnia 2025 r. do 31 marca 2026 r. Jest to maksymalna stawka uprawniająca rodziców do skorzystania ze świadczenia „aktywnie w żłobku”.

REKLAMA

Bez refundacji dla cukrzyków, a koszt leczenia to nawet kilkadziesiąt tysięcy złotych. Mamy odpowiedź z Ministerstwa Zdrowia

Zgodnie z Konstytucją RP każdy ma prawo do ochrony zdrowia. Jak się jednak okazuje to zdrowie jest chronione w różnym stopniu w stosunku do różnych osób. Niestety sytuacja niektórych osób cierpiących na cukrzycę nie poprawi się w najbliższym czasie. Ministerstwo Zdrowia odpowiedziało, że nie planuje poszerzenia populacji uprawnionej do korzyści i dofinansowań związanych z cukrzycą.

Kiedy 36 dni urlopu dla pracownika?

Standardem jest, że pracownicy mają 20 lub 26 dni urlopu wypoczynkowego w roku. Niektórzy pracownicy są uprawnieni do nawet 36 dni urlopu. Kto i kiedy może liczyć na tak długi urlop?

REKLAMA