Надзорният орган оцени като недостатъчни инструкциите с видео как да криптирате файлове
Две глоби от полския надзорен орган за защита на данните (UODO). Първата е за компанията за кетъринг Res-Gastro, чиито служител загубил флашка с лични данни. Според UODO начинът на обработка на личните данни в тази компания е в противоречие с приложимите разпоредби на GDPR, поради неправилно извършен анализ на риска, който не предвижда риск от загуба на носител на данни. В резултат на това не са използвани подходящи организационни и технически мерки за осигуряване на сигурна обработка на данните.
Във флашката е имало некриптирани файлове, съдържащи лични данни на друг служител, а именно име и фамилия, адрес, гражданство, пол, дата на раждане, PESEL номер, серия и номер на паспорт, телефонен номер, имейл адрес, снимки и данни за дохода. Флашката съдържала и криптирани файлове с финансови данни.
По време на производството компанията доказва, че разполага с документи като регистър на риска и потвърждение за мониторинг на процедурите по GDPR. Проблем обаче се оказват правилата за използване на външни носители на данни, включително тяхното криптиране. Компанията информира служителите за това как да криптират файлове в видео с инструкции. И това, както отбелязват от UODO, им прехвърля отговорността за начина на обработка на данните.
Според надзорния оран компанията неправилно е оценила риска за данните. Предполага се, че носителите на данни могат да бъдат откраднати или унищожени – но не беше взето предвид, че носителят може просто да бъде изгубен без лоши намерения.
Освен това, въпреки допускането на различни събития, не са внедрени криптографски решения за защита на личните данни на външни носители. Видео с инструкции „как да криптирате файлове на флашка и каква програма да използвате за тази цел“ не е достатъчно предвид обхвата на данните, обработвани на такъв носител.
Друг проблем е, че компанията не доказва редовно измерване, тестване и оценка на ефективността на въведените мерки за сигурност.
Самата компания е информирала за инцидента и по време на производството е съдействала на UODO, което е оказало значително влияние върху размера на глобата. Размерът на административната санкция е съобразен и с оборота на компанията – глобата е в размер на 238 345 PLN (54 600 EUR) за нарушение на членове 5, 24, 25 и 32 от GDPR. В допълнение трябва да се предприемат подходящи организационни и технически мерки за осигуряване на сигурна обработка на данните.
Администраторът трябва редовно да тества, измерва и оценява ефективността на мерките за защита на данните
Втората санкция е наложена заради неприлагане на технически и организационни мерки, съответстващи на риска за данни, обработвани на преносими компютри.
UODO налага наказание в размер на 24 555 PLN (5 625 EUR) на Chorągiew Stołeczną ZHP. В допълнение Chorągiew се задължава да приложи подходящи мерки за защита на данните в рамките на три месеца от датата на решението.
Нарушаването на защитата на данните, което води до наказанието от UODO, е станало, когато инструктор оставя раница с лаптоп, принадлежащ на Chorągwi, в метрото. В преносимия компютър има лични данни: имена и фамилии, имена на родители, дата на раждане, номер на банкова сметка, адрес, PESEL номер, имейл адрес, данни за доходи или активи, серия и номер на лична карта, телефонен номер, здравни данни и други (членство, назначаване).
Chorągiew съобщава за този инцидент на полицията и на UODO, който след анализ на нарушението започна административно производство. Полицията не се занимава със случая, защото не става дума за кражба, а за загуба на раница..
Chorągiew извършва анализ на риска за личните данни. Той обаче не включва риска от неподходящо пренасяне на носители на данни. Този риск беше включен в анализа след загубването на лаптопа. Тогава се оказва, че е необходимо да се проверят дейностите „в областта на криптирането на дискове на служебни компютри, изнасяни извън сградите на администратора (…)”.
Според UODO, анализът на риска и мерките, въведени въз основа на него, не са били достатъчни. В решението се подчертава, че ролята на администратора не се ограничава до еднократното разработване и прилагане на организационни и технически мерки за осигуряване на обработването на лични данни в съответствие с принципите, изразени в GDPR. Загубата на лаптоп е случайно събитие. В подобна ситуация обаче ключово е дали администраторът редовно е тествал, измервал и оценявал ефективността на техническите и организационни мерки за гарантиране сигурността на обработването на лични данни, пише в решението.