Zgubił pendrive’y w sądzie. Zawierały niezabezpieczone poufne dane

Do zgłoszonego przez sąd naruszenie ochrony danych osobowych doszło na skutek zagubienia trzech nośników danych: jednego służbowego – szyfrowanego oraz dwóch prywatnych – nieszyfrowanych. Na zagubionych pendrive’ach znajdowały się projekty orzeczeń i uzasadnień, zawierające dane osobowe z okresu od grudnia 2004 r. do sierpnia 2020 r. – podaje Rzeczpospolita. Pomimo przeprowadzonych w sądzie poszukiwań nie odnaleziono nośników.

W trakcie postępowania wszczętego przez Urząd Ochrony Danych Osobowych ustalono, że służbowy sprzęt komputerowy był wieloletnio wykorzystywany do przetwarzania prywatnych nośników danych – niezabezpieczonych i niezweryfikowanych przez dział IT. Ponadto według ustaleń administrator sądu nie sprawdzał, czy pracownicy przestrzegali wewnętrznych uregulowań dotyczących zakazu użytkowania prywatnych nośników danych.

UODO podkreśla, że gdyby Sąd Rejonowy Szczecin-Centrum zweryfikował sposób realizacji środka organizacyjnego – czyli zakazu użytkowania prywatnych nośników danych – znacząco obniżyłby ryzyko naruszenia lub nawet doprowadziłby do całkowitego jego wyeliminowania. Natomiast w związku z zaginięciem pendrive'ów i nieprzestrzeganiem RODO na sąd została nałożona kara w wysokości 30 tys. złotych.

Warto zauważyć, że Sąd Rejonowy Szczecin-Centrum podjął działania związane z ograniczeniem ryzyka w omawianym obszarze, ale nie były one skrupulatnie realizowane. Administrator miał już program umożliwiający blokowanie portów USB od grudnia 2019 r., ale wprowadził go dopiero w październiku 2020 r.. Działanie wynikające z przeprowadzonej analizy ryzyka, które miało na celu minimalizację zagrożenia związanego z możliwością użycia prywatnego nośnika pamięci do przetwarzania danych osobowych, zostało podjęte po około 11 miesiącach od momentu zakupu programu.

Na każdym z przeprowadzonych w sądzie audytów osoby je realizujące identyfikowały podatność i artykułowały zalecenia zablokowania portów USB dla zwiększenia bezpieczeństwa danych. Ponadto osoba odpowiedzialna za zgubienie pendrive’ów, była szkolona z ochrony danych osobowych i podpisała stosowne oświadczenie, w którym zobowiązała się do nieprzesyłania danych na prywatne nośniki.