20 000 zł kary dla sanepidu w Policach. UODO bardzo krytyczny wobec urzędu

Sprawa Powiatowego Inspektoratu Sanitarnego w Policach pokazuje, jak poważne konsekwencje może mieć lekceważenie obowiązków związanych z ochroną danych osobowych – zwłaszcza wtedy, gdy chodzi o dane szczególnie wrażliwe, dotyczące zdrowia tysięcy mieszkańców. Decyzja Prezesa Urzędu Ochrony Danych Osobowych o nałożeniu 20 tysięcy złotych kary finansowej nie jest przypadkowa i jasno wskazuje na systemowe zaniedbania po stronie sanepidu.

W 2023 roku sanepid w Policach zgłosił naruszenie ochrony danych osobowych polegające na zagubieniu prywatnego pendrive’a przez jednego z pracowników. Nośnik nie był zaszyfrowany ani zabezpieczony hasłem. Znajdowały się na nim dane około 4200 osób, w tym informacje o osobach chorych na COVID-19, a więc dane dotyczące zdrowia, gromadzone do 2021 roku. Dodatkowo pendrive zawierał dane z około 300 postępowań administracyjnych prowadzonych przez sanepid. Skala i charakter informacji zapisanych na nośniku sprawiają, że był to jeden z najpoważniejszych incydentów związanych z ochroną danych w administracji publicznej w regionie.

Zgłoszenie incydentu stało się impulsem do działań ze strony Prezesa UODO. W toku postępowania wyjaśniającego i administracyjnego ustalono, że Powiatowy Inspektor Sanitarny w Policach nie realizował swoich obowiązków wynikających z RODO w sposób prawidłowy. Analiza ryzyka była prowadzona w sposób ogólnikowy, a administrator danych nie posiadał odrębnych regulacji dotyczących zarządzania zewnętrznymi nośnikami danych. Choć formalnie używanie takich nośników było zakazane, ryzyko, że pracownik i tak z nich skorzysta, oceniono jako niskie i niewymagające dodatkowych działań. To założenie nie było ani weryfikowane, ani testowane w praktyce.

Zaginiony pendrive Sanepidu z danymi osobowymi. Jedna osoba straciła już pracę

Prezes UODO jednoznacznie wskazał, że doszło do naruszenia podstawowych zasad RODO, w tym zasady integralności i poufności danych oraz zasady rozliczalności. Co szczególnie bulwersujące, realne działania zabezpieczające – takie jak sprawdzenie systemów czy zablokowanie możliwości kopiowania danych na nośniki zewnętrzne – zostały wdrożone dopiero po interwencji organu nadzorczego. Oznacza to, że przez długi czas dane tysięcy mieszkańców powiatu były przetwarzane w warunkach, które nie zapewniały im realnej ochrony.

W swojej decyzji Prezes UODO przypomniał, że RODO opiera się na zarządzaniu ryzykiem, które powinno być procesem ciągłym. Administrator danych ma obowiązek samodzielnie analizować procesy przetwarzania danych, oceniać ryzyko i dobierać adekwatne środki bezpieczeństwa. Przepisy nie przewidują gotowych checklist ani zamkniętych katalogów zabezpieczeń – to na administratorze spoczywa odpowiedzialność za udowodnienie, że zastosowane rozwiązania są wystarczające. W przypadku sanepidu w Policach takiej zdolności do wykazania nie było, ponieważ analiza ryzyka przed incydentem była wadliwa i zbyt powierzchowna.

Dopiero po zgłoszeniu naruszenia przeprowadzono rzetelną analizę ryzyka, uwzględniającą realne zagrożenia związane z używaniem zewnętrznych nośników danych. Ryzyko oceniono jako akceptowalne, ale już po wdrożeniu konkretnych zabezpieczeń, takich jak blokada portów USB i uniemożliwienie korzystania z prywatnych nośników przez pracowników. To rodzi pytanie, dlaczego podobne działania nie zostały podjęte wcześniej – zwłaszcza w instytucji, która przetwarza dane dotyczące zdrowia mieszkańców całego powiatu.

Prezes UODO uznał, że naruszenie miało znaczną wagę i poważny charakter, ponieważ stwarzało wysokie ryzyko negatywnych skutków dla osób, których dane dotyczą. Co więcej, nie ma żadnej pewności, że dane zapisane na zagubionym pendrivie nie trafiły w ręce osób trzecich. Na niekorzyść sanepidu przemawiał również długi czas trwania naruszeń przepisów RODO oraz fakt, że choć nie było tu działania umyślnego, to skala zaniechań świadczyła o rażącym niedbalstwie.

Choć po ujawnieniu incydentu administrator wdrożył działania naprawcze i wzmocnił bezpieczeństwo informacji, dla organu nadzorczego nie mogło to oznaczać odstąpienia od kary finansowej. Sankcja ma bowiem nie tylko charakter represyjny, ale również prewencyjny – ma jasno pokazywać innym instytucjom publicznym, że lekceważenie ochrony danych osobowych będzie miało konsekwencje.

Na koniec warto zauważyć, że sprawa sanepidu w Policach nie jest odosobnionym przypadkiem problemów z ochroną danych w instytucjach publicznych. Do jeszcze większego skandalu doszło w tym roku w Kołbaskowie, gdzie CUK – poprzez dane ujawnione w Krajowym Rejestrze Sądowym – doprowadził do ujawnienia informacji dotyczących setek swoich klientów. Oba przypadki pokazują, że problem nie dotyczy pojedynczych błędów, lecz systemowego podejścia do bezpieczeństwa danych, które wciąż zbyt często bywa traktowane jako formalność, a nie realna odpowiedzialność wobec obywateli.

Wyciek danych w gminie Kołbaskowo. Adresy i numery PESEL mieszkańców i wysokość długów dostępne w sieci