Zgubił pendrive’y w sądzie. Zawierały niezabezpieczone poufne dane

Pracownik Sądu Rejonowego Szczecin-Centrum zgubił dwa niezaszyfrowane pendrive'y, na których znajdowały się projekty orzeczeń i uzasadnień z danymi osobowymi za okres od 2004 do 2020 roku. Sprawa ta została zgłoszona przez sam sąd do UODO, który nałożył na niego karę w wysokości 30 tys. złotych.

Do zgłoszonego przez sąd naruszenie ochrony danych osobowych doszło na skutek zagubienia trzech nośników danych: jednego służbowego – szyfrowanego oraz dwóch prywatnych – nieszyfrowanych. Na zagubionych pendrive’ach znajdowały się projekty orzeczeń i uzasadnień, zawierające dane osobowe z okresu od grudnia 2004 r. do sierpnia 2020 r. – podaje Rzeczpospolita. Pomimo przeprowadzonych w sądzie poszukiwań nie odnaleziono nośników.

W trakcie postępowania wszczętego przez Urząd Ochrony Danych Osobowych ustalono, że służbowy sprzęt komputerowy był wieloletnio wykorzystywany do przetwarzania prywatnych nośników danych – niezabezpieczonych i niezweryfikowanych przez dział IT. Ponadto według ustaleń administrator sądu nie sprawdzał, czy pracownicy przestrzegali wewnętrznych uregulowań dotyczących zakazu użytkowania prywatnych nośników danych.

Dalsza część artykułu pod materiałem wideo

UODO podkreśla, że gdyby Sąd Rejonowy Szczecin-Centrum zweryfikował sposób realizacji środka organizacyjnego – czyli zakazu użytkowania prywatnych nośników danych – znacząco obniżyłby ryzyko naruszenia lub nawet doprowadziłby do całkowitego jego wyeliminowania. Natomiast w związku z zaginięciem pendrive'ów i nieprzestrzeganiem RODO na sąd została nałożona kara w wysokości 30 tys. złotych.

Warto zauważyć, że Sąd Rejonowy Szczecin-Centrum podjął działania związane z ograniczeniem ryzyka w omawianym obszarze, ale nie były one skrupulatnie realizowane. Administrator miał już program umożliwiający blokowanie portów USB od grudnia 2019 r., ale wprowadził go dopiero w październiku 2020 r.. Działanie wynikające z przeprowadzonej analizy ryzyka, które miało na celu minimalizację zagrożenia związanego z możliwością użycia prywatnego nośnika pamięci do przetwarzania danych osobowych, zostało podjęte po około 11 miesiącach od momentu zakupu programu.

Na każdym z przeprowadzonych w sądzie audytów osoby je realizujące identyfikowały podatność i artykułowały zalecenia zablokowania portów USB dla zwiększenia bezpieczeństwa danych. Ponadto osoba odpowiedzialna za zgubienie pendrive’ów, była szkolona z ochrony danych osobowych i podpisała stosowne oświadczenie, w którym zobowiązała się do nieprzesyłania danych na prywatne nośniki.