Prezes Urzędu Ochrony Danych Osobowych stwierdził poważne nieprawidłowości w zakresie ochrony danych osobowych w Sąd Rejonowy Lublin-Zachód. Sprawa miała swój początek w incydencie naruszenia ochrony danych, do którego doszło podczas realizacji wniosku o dostęp do informacji publicznej. W jego następstwie ujawniono systemowe braki w obszarze zarządzania bezpieczeństwem danych, w tym brak prawidłowej analizy ryzyka oraz niewdrożenie kompleksowej polityki ochrony danych zgodnej z RODO.
Nadmiarowe udostępnienie danych osobowych
Do naruszenia doszło w związku z udostępnieniem informacji publicznej dotyczącej sędziów oraz lekarzy i psychologów dopuszczających ich do wykonywania zawodu. Sąd przekazał wnioskodawcy plik arkusza kalkulacyjnego, który – oprócz danych objętych wnioskiem – zawierał dodatkowe arkusze z informacjami wykraczającymi poza jego zakres. W efekcie ujawniono m.in. oznaczenia wydziałów, numery PESEL, adresy zamieszkania lub pobytu sędziów, daty urodzenia oraz daty powołania.
Prezes i dyrektor sądu zgłosili naruszenie do Prezesa UODO, co stało się impulsem do przeprowadzenia kontroli w jednostce.
Kontrola UODO i stwierdzone nieprawidłowości
Na polecenie Mirosław Wróblewski w sądzie przeprowadzono kontrolę, a następnie wszczęto postępowanie administracyjne. Ustalono, że przez długi czas nie prowadzono regularnego testowania, mierzenia ani oceniania środków technicznych i organizacyjnych służących bezpieczeństwu przetwarzania danych. Brak tych działań skutkował niewdrożeniem polityki ochrony danych odpowiadającej wymogom RODO.
Choć w sądzie funkcjonowały procedury dotyczące rachunkowości i kadr, nie obejmowały one całości operacji przetwarzania danych, w szczególności w obszarze udostępniania informacji publicznej i anonimizacji danych. Kompleksowa polityka ochrony danych została wdrożona dopiero krótko przed wydaniem ostatecznej decyzji Prezesa UODO.
Brak i wadliwość analizy ryzyka
Kontrola wykazała również, że w sądzie przez długi czas w ogóle nie przeprowadzano analizy ryzyka związanego z przetwarzaniem danych osobowych. Gdy analiza została w końcu wykonana, nie spełniała wymogów rozporządzenia ogólnego o ochronie danych. Oznaczało to, że administrator nie posiadał rzetelnej oceny zagrożeń i adekwatnych środków minimalizujących ryzyko naruszeń.
Decyzja Prezesa UODO
W wydanej decyzji Prezes UODO nakazał prezesowi i dyrektorowi sądu dostosowanie operacji przetwarzania danych do przepisów RODO. Obowiązki te obejmują m.in. regularne testowanie, mierzenie i ocenianie stosowanych zabezpieczeń oraz przeprowadzenie prawidłowej, zgodnej z przepisami analizy ryzyka.
Jednocześnie organ nadzorczy uznał, że ze względu na podjęte przez kierownictwo sądu działania naprawcze – w tym wdrożenie polityki ochrony danych i rozpoczęcie prac nad analizą ryzyka – wystarczającą sankcją będzie udzielenie prezesowi sądu oraz dyrektorowi sądu upomnień.
Znaczenie sprawy
Decyzja Prezesa UODO pokazuje, że nawet w instytucjach publicznych o szczególnym statusie brak systemowego podejścia do ochrony danych osobowych może prowadzić do poważnych naruszeń. Sprawa podkreśla również, jak istotne jest regularne testowanie zabezpieczeń, właściwa anonimizacja danych przy udostępnianiu informacji publicznej oraz rzetelna analiza ryzyka jako fundament zgodności z RODO.
