Tak wynika z jednego z ostatnich orzeczeń Naczelnego Sądu Administracyjnego (NSA) w kolejnym sporze o RODO. Tu miał on związek z kradzieżą sprzętu komputerowego, której pokłosiem było naruszenie ochrony danych osobowych. W lutym 2022 r. do prezesa Urzędu Ochrony Danych Osobowych (UODO) zgłosił je rzecznik finansowy. Informował, że do naruszenia doszło na skutek kradzieży wykorzystywanego do pracy zdalnej prywatnego laptopa byłego pracownika. Wyjaśnił, że radczyni prawna po zakończeniu zatrudnienia – bez wiedzy administratora – przechowywała na prywatnym komputerze kopie dokumentów, informacje i dane osobowe, do których miała dostęp w związku ze świadczoną pracą w okresie zatrudnienia w Biurze Rzecznika Finansowego. Według informacji prawniczki kopie miały być usunięte ze skradzionego nośnika jeszcze w 2021 r., ale nie była pewna, czy folder kosz został opróżniony. Dlatego nie było jasne, czy dane zostały trwale usunięte z laptopa. Kradzież została zgłoszona policji.
Odpowiedzialność za ochronę danych osobowych ze skradzionego laptopa
UODO zaczął dociekać szczegółów. Okazało się, że naruszenie ochrony danych osobowych dotyczyło ponad 1300 osób. A lista potencjalnych danych, które mogły zachować się na skradzionym sprzęcie była długa. Nie chodziło bowiem tylko o standardowe dane: jak nazwiska i imiona, imiona rodziców, daty urodzenia, numery rachunku bankowego, adresy zamieszkania lub pobytu, numery PESEL czy nazwy użytkownika lub hasła. Na liście znalazły się też dane dotyczące zarobków, posiadanego majątku, nazwisko rodowe matki, seria i numer dowodu osobistego, numer telefonu, wizerunek oraz inne dotyczące kredytów, numerów klienta i karty, polis, rejestracji aut, numerów VIN, prawa jazdy czy kwot roszczeń, a nawet informacji o prowadzonych postępowaniach. Rzecznik wyjaśnił ponadto, że pracownicy w trybie zdalnym do 2020 r., kontaktowali się z biurem poprzez służbowy adres e-mail. Monitoring nadzorowania pracy w trybie zdalnym odbywał się głównie za pośrednictwem służbowej skrzynki e-mailowej, poprzez którą pracownicy otrzymywali informacje, materiały, jak również rozliczali się z wykonanych zadań. Administrator wyjaśnił, jakie zabezpiecza się przed naruszeniami. Zapewnił, że aktualnie wszyscy pracownicy mający dostęp do spraw korzystają wyłącznie ze służbowego sprzętu. Dodatkowo w marcu 2022 r. została wdrożona polityka bezpieczeństwa zawierająca m.in. kolejne procedury uniemożliwiające kopiowanie na zewnętrzne nośniki oraz ograniczone zostały możliwości wysyłania i odbierania poczty z adresów zewnętrznych, która jest wdrażana, docelowo dla całej instytucji.
Czytaj więcej
Pomyłkowe wysłanie korespondencji jednego klienta innemu przez błąd pracownika to nielegalne przetwarzanie danych osobowych, za które administrator...
Po bardzo szczegółowym postępowaniu prezes UODO stwierdził, że rzecznik finansowy nie zastosował odpowiednich procedur bezpieczeństwa odpowiadających ryzyku przetwarzania danych przy wykonywaniu telepracy przez pracowników. Niemniej z uwagi na reakcję instytucji udzielił tylko upomnienia. Rzecznik nie pogodził się jednak nawet z tak łagodną sankcją. Zaskarżył decyzję UODO. A bronił się m.in. tym, że pracownica przez cały czas zatrudnienia była radcą prawnym. I jako profesjonalna uczestniczka obrotu i radca prawny jest zobowiązana w ramach danych przetwarzanych w związku z wykonywaniem zawodu do ich adekwatnego i prawidłowego zabezpieczenia. W ocenie skarżącego nie można go również obciążyć faktem niedostarczenia radczyni sprzętu służbowego. Argumentował, że kobieta wykonywała pracę jako radca prawny, a co za tym idzie, samodzielnym administratorem danych osobowych. Rzecznik w żaden sposób nie mógł wpłynąć na wybór środka przetwarzania danych osobowych, zaś pracownik jako radca prawny zobowiązany był do zachowania tajemnicy zawodowej.
Pracownik na etacie nie jest administratorem danych z RODO
To nie przekonało jednak Wojewódzkiego Sądu Administracyjnego (WSA) w Warszawie. Nie dopatrzył się naruszenia prawa. Nie miał też wątpliwości, że administratorem danych osobowych w tym przypadku był Rzecznik Finansowy, a nie były pracownik. Sytuacji prawnej nie zmienia bowiem nawet działanie naruszające czy wykraczające poza zakres powierzonych mu przez pracodawcę zadań i obowiązków pracowniczych. Ani status radcy prawnego, byłego pracownika. Jak przypomniał WSA, przepisy RODO nakładają na administratora obowiązki w zakresie przestrzegania zasad przetwarzania danych osobowych i obarczają go odpowiedzialnością za ich naruszenie. Z tym wiąże się konieczność wdrażania określonych procedur. Administrator dla prawidłowej realizacji obowiązków powinien w pierwszej kolejności przeprowadzić analizę ryzyka i na jej podstawie określić i wdrożyć adekwatne środki zapewniające bezpieczeństwo w procesie przetwarzania danych osobowych. Zdaniem WSA, gdy administrator przewidział możliwość używania sprzętu, na którym są przetwarzane dane osobowe poza swoją siedzibą, to ta analiza powinna wskazywać na ewentualne ryzyka wynikające z możliwości jego kradzieży. Przy czym dotyczy to zarówno sprzętu służbowego, jak i prywatnego należącego do pracowników wykorzystywanego w związku ze świadczeniem pracy poza siedzibą organizacji. Sąd zgodził się, że w gruncie rzeczy administrator, nie dokonując analizy ryzyka, na pracownika przeniósł odpowiedzialność za jej przeprowadzanie w związku ze świadczeniem pracy zdalnej przy wykorzystaniu prywatnego sprzętu.
Czytaj więcej
Bank może przekazywać dane osobowe swoich klientów do kancelarii, z którą ma podpisaną umowę o obsługę prawną. W takiej sytuacji ani bank, ani radc...
Racji instytucji nie przyznał też NSA. Zaznaczył, że w spornym przypadku reakcja UODO nie wynikała z faktu samej kradzieży. Upomnienie zostało nałożone za to, że nie zrealizowano wynikających z RODO obowiązków prawidłowej analizy ryzyka jeszcze w fazie konstruowania sposobu, trybu, zakresu przetwarzania danych osobowych oraz wprowadzenia adekwatnych środków organizacyjnych i technicznych. Kwestia utraty danych ani tego, czy rzeczywiście znajdowały się one na komputerze nie miała znaczenia w sprawie. NSA stanowczo zaprzeczył też, że w sprawie administratorem danych była radczyni prawna. Przypomniał, że definicja administratora danych osobowych na gruncie przepisów RODO ma charakter funkcjonalny. W konsekwencji o tym, czy dany podmiot jest administratorem przesądzają ustalenia, kto decyduje o tym, czy dane będą przetwarzane, w jakim zakresie, sposobie i celu. I jak tłumaczył sędzia sprawozdawca Maciej Kobak, w odniesieniu do radcy prawnego, który znajduje się w stosunku zatrudnienia na podstawie umowy o pracę, będzie to pracodawca. W świetle orzecznictwa radca prawny, który prowadzi indywidualną kancelarię, ma kontakt z klientami i prowadzi ich sprawę, to on decyduje o tych wszystkich kwestiach związanych z danymi. Natomiast jeżeli radca prawny pozostaje w stosunku zatrudnienia i pełni pewną funkcję pracowniczą, czyli realizuje zadania de facto pracodawcy, to ta decyzja do niego już nie należy. NSA zgodził się również, że w spornym przypadku nie została przeprowadzona prawidłowa analiza ryzyka. Administrator nie przedstawił bowiem dowodów, że przed powierzeniem pracownikowi – radcy prawnemu, przetwarzania danych na prywatnym komputerze w ramach pracy zdalnej, rozważył ryzyka, jakie niesie ze sobą utrata tego sprzętu. Wyrok jest prawomocny.
Sygnatura akt: III OSK 533/24
