Decyzja UODO podtrzymana. SGGW zapłaci karę za naruszenie ochrony danych osobowych

Wojewódzki Sąd Administracyjny (WSA) w Warszawie podtrzymał decyzję Prezesa UODO dotyczącą naruszenia ochrony danych osobowych kandydatów na studia w SGGW z listopada 2019 roku. WSA podkreślił, że uczelnia "nie wdrożyła wystarczających środków technicznych i organizacyjnych, by zapewnić bezpieczeństwo danym osobowych".

W listopadzie 2019 roku doszło do kradzieży prywatnego laptopa pracownika uczelni, na którym zostały zapisane dane osobowe kandydatów na studia, w tym numery PESEL, seria i numery dowodów osobistych, adresy zamieszkania itp. Jak można przeczytać w oficjalnym komunikacje Urzędu Ochrony Danych Osobowych "późniejsza kontrola, jak i postępowanie administracyjne UODO wykazało nieprawidłowości po stronie administratora danych, co skończyło się nałożeniem kary pieniężnej". Jej wysokość to 50 tys. złotych.

Uczelnia odwołała się od decyzji i przed Wojewódzkim Sądem Administracyjnym w Warszawie próbowała wykazać, że to nie ona była administratorem danych, które przechowywano na skradzionym sprzęcie. Według SGGW był nim pracownik, bo "bez wiedzy administratora, jak i z naruszeniem wewnętrznych procedur, przetwarzał dane rekrutacyjne studentów z okresu pięciu lat na prywatnym sprzęcie. Uczelnia w wewnętrznych regulacjach określiła, że dane kandydatów na studia mają być przetwarzane maksymalnie przez okres trzech miesięcy", jak informuje UODO.

Sędziowie WSA uznali jednak, że to SGGW było administratorem danych, co jest zgodne definicją administratora zawartą w RODO. To uczelnia miała wpływ na decyzje związane z celami oraz sposobami przetwarzania danych osobowych kandydatów na studia. Dodatkowo pracownik, któremu skradziono laptopa, nie występował jako odrębny podmiot prawa, a jego działania są działaniami pracodawcy. Więcej na temat decyzji WSA można przeczytać na oficjalnej stronie UODO.