KSSiP przegrała z UODO w sądzie

Krajowa Szkoła Sądownictwa i Prokuratury nie zastosowała odpowiednich środków technicznych i organizacyjnych, które pozwoliłyby zapewnić bezpieczeństwo przetwarzania danych – potwierdził Wojewódzki Sąd Administracyjny w Warszawie.

Publikacja: 09.04.2022 14:46

Minister ma odrębnie opiniować harmonogram szkoleń w KSSiP zarówno w zakresie merytorycznym, jak i z

Minister ma odrębnie opiniować harmonogram szkoleń w KSSiP zarówno w zakresie merytorycznym, jak i zgodności z planem finansowym

Foto: Fotorzepa, Pio Piotr Guzik

Prezes Urzędu Ochrony Danych Osobowych ukarał KSSiP karą w wysokości
100 tysięcy złotych za to, że jej zaniedbania doprowadziły do wycieku danych tysięcy sędziów i prokuratorów, w tym ich imion i nazwisk, numerów telefonów i prywatnych adresów e-mail. Wyciek ujawniono w kwietniu 2020 r. Prokuratura ustaliła, że odpowiedzialnym jest pracownik spółki zewnętrznej, z którą KSSiP zawarła umowę o świadczenie usługi zarządzania zasobami serwerowymi.

Sprawę badał także Urząd Ochrony Danych Osobowych. Nie dopatrzył się
winy firmy, której pracownik usłyszał zarzuty prokuratorskie. Stwierdził za to wiele nieprawidłowości po stronie szkoły: "Niezastosowanie odpowiednich środków technicznych i organizacyjnych, (...) niewłaściwe uwzględnienie ryzyka związanego ze zmianami w procesie przetwarzania. Powierzenie tego procesu firmie, bez umownego zobowiązania podmiotu przetwarzającego do przetwarzania danych wyłącznie na udokumentowane polecenie administratora". Prezes UODO nałożył na KSSiP karę administracyjną w wysokości 100 tys. złotych.

Czytaj więcej

Wyciek z KSSiP: Prawnicy dostają pogróżki. Żądanie pieniędzy i groźby śmierci

Jak informuje UODO,  w wyniku nieupoważnionego dostępu do pliku z kopią bazy danych nieznane osoby ujawniły te dane w Internecie. Kopia bazy danych powstała natomiast w związku z testową migracją do nowej platformy szkoleniowej KSSiP.  KSSiP próbowała przekonać UODO, a potem sąd, że to pracownik  firmy zewnętrznej wykonał na zlecenie administratora kopię bazy danych i pozostawił ją na serwerze.

W wyroku, który zapadł 26 stycznia 2022 r. WSA podkreślił jednak, że UODO słusznie przyjął, iż skoro administrator podjął decyzję, że wspomniana kopia bazy danych powinna zostać usunięta, to jego obowiązkiem była weryfikacja, czy czynność ta została wykonana. Sąd zwrócił przy tym uwagę, że nawet jak pracownik podmiotu przetwarzającego nie usunął wykonanej kopii, to na administratorze nadal ciążył obowiązek weryfikacji czy wskazana lokalizacja zapewnia bezpieczeństwo przetwarzania danych osobowych. Zaznaczył, że to administrator jest inicjatorem podejmowanych działań, jako podmiot decydujący o celach i sposobach przetwarzania. Sąd zwrócił też uwagę, że z umowy o świadczenie usług między administratorem a podmiotem przetwarzającym wynika odpowiedzialność administratora za bezpieczeństwo, który w razie konieczności korzysta z pomocy podmiotu przetwarzającego

Sąd podzielił także zarzuty UODO dotyczące braków kompleksowych postanowień w umowie powierzenia przetwarzania danych.

- Treść umowy powierzenia w sposób niewystarczający określała zakres powierzanych danych. Umowa ta nie zawierała kategorii osób oraz nie doprecyzowała rodzaju danych osobowych przez wskazanie ich kategorii. Ponadto KSSiP nie zawarła w umowie zobowiązania podmiotu przetwarzającego do przetwarzania danych osobowych wyłącznie na udokumentowane polecenie administratora - uznał sąd.

WSA nie zgodził się z zarzutem skarżącej KSSiP, że postępowanie przed UODO powinno być zawieszone do czasu zakończenia postępowania karnego wszczętego w związku z naruszeniem.

- UODO nie dubluje uprawnień prokuratury i sądu karnego, a ocenia działanie administratora poprzez analizę stanu faktycznego i wykładnię przepisów o ochronie danych osobowych - zauważył WSA.

Sygn. akt II SA/Wa 1384/21

Prezes Urzędu Ochrony Danych Osobowych ukarał KSSiP karą w wysokości
100 tysięcy złotych za to, że jej zaniedbania doprowadziły do wycieku danych tysięcy sędziów i prokuratorów, w tym ich imion i nazwisk, numerów telefonów i prywatnych adresów e-mail. Wyciek ujawniono w kwietniu 2020 r. Prokuratura ustaliła, że odpowiedzialnym jest pracownik spółki zewnętrznej, z którą KSSiP zawarła umowę o świadczenie usługi zarządzania zasobami serwerowymi.

Pozostało 86% artykułu
2 / 3
artykułów
Czytaj dalej. Subskrybuj
Prawo karne
CBA zatrzymało znanego adwokata. Za rządów PiS reprezentował Polskę
Spadki i darowizny
Poświadczenie nabycia spadku u notariusza: koszty i zalety
Podatki
Składka zdrowotna na ryczałcie bez ograniczeń. Rząd zdradza szczegóły
Ustrój i kompetencje
Kiedy można wyłączyć grunty z produkcji rolnej
Sądy i trybunały
Sejm rozpoczął prace nad reformą TK. Dwie partie chcą odrzucenia projektów