Prawie 240 tys. zł kary dla firmy, której pracownik zgubił pendrive z danymi osobowymi.

Pracownik firmy gastronomicznej Res-Gastro M. Gaweł Sp. k. z Kolbuszowej na Podkarpaciu zgubił pendrive’a z danymi osobowymi. Prezes UODO ustalił, że sposób przetwarzania danych osobowych w tej firmie był niezgodny z obowiązującymi przepisami RODO ze względu na niepoprawnie przeprowadzoną analizę ryzyka, która nie przewidziała zagrożenia polegającego na zagubieniu nośnika danych.

W efekcie nie zastosowano odpowiednich środków organizacyjnych i technicznych, aby zapewnić bezpieczne przetwarzanie danych. O zdarzeniu poinformowała sama firma, a w czasie postępowania współpracowała z Prezesem UODO, co miało istotny wpływ na ostateczny wymiar kary.

Na zgubionym pendrivie znajdowały się niezaszyfrowane pliki zawierające dane osobowe pracownika, m.in. imię i nazwisko, adres, obywatelstwo, płeć, datę urodzenia, numer PESEL, serię i numer paszportu, numer telefonu, adres e-mail, zdjęcia oraz dane dotyczące wysokości zarobków. Na pendrivie znajdowały się też zaszyfrowane pliki z danymi finansowymi.

Na czym polegał problem?

• Firma źle oceniła ryzyko dla danych. Założono, że nośniki mogą być skradzione albo zniszczone, ale nie wzięto pod uwagę możliwości ich zwykłego zgubienia bez złych intencji.
• Pomimo zakładania wystąpienia różnych zdarzeń nie wdrożono rozwiązań kryptograficznych dla ochrony danych osobowych na zewnętrznych nośnikach. Film instruktażowy pokazujący pracownikom, jak szyfrować pliki na pendrivie, został przez UODO uznany za niewystarczający wobec zakresu przetwarzanych danych.
• Firma nie dopełniła obowiązku regularnego mierzenia, testowania i oceniania skuteczności zastosowanych środków bezpieczeństwa.

Prezes UODO nałożył na Res-Gastro karę finansową w wysokości 238 345 zł.

Pełna treść decyzji Prezesa UODO

Źródło: UODO