Grant Thornton przekaza艂, 偶e w 2024 r. Prezes UODO wyda艂 20 decyzji nak艂adaj膮cych administracyjne kary pieni臋偶ne na 24 podmioty. 艁膮czna warto艣膰 na艂o偶onych kar wynios艂a 13 mln 885 tys. 999,92 锄艂, z czego 98,7 proc. zap艂aci艂y podmioty prywatne (ok. 13,7 mln), a reszt臋 podmioty publiczne (185 tys.) - wskazano. Jak dodano, blisko 94 proc. ca艂kowitej warto艣ci kar na艂o偶ono na sp贸艂ki kapita艂owe.
Zgodnie z rozporz膮dzeniem o ochronie danych osobowych, czyli RODO, ochron膮 danych w firmach i instytucjach zajmuj膮 si臋 administratorzy danych. Do ich obowi膮zk贸w nale偶y m.in. zapewnienie bezpiecze艅stwa przetwarzania danych osobowych przez stosowanie 艣rodk贸w technicznych i organizacyjnych; oszacowanie, czy z operacjami przetwarzania danych wi膮偶e si臋 ryzyko lub wysokie ryzyko naruszenia. Musz膮 oni te偶 wsp贸艂pracowa膰 z organem nadzorczym, czyli UODO np. poprzez zg艂aszanie naruszenia ochrony danych osobowych (o ile zachodz膮 do tego przes艂anki), a tak偶e zawiadamianie danej osoby o naruszeniu ochrony danych osobowych (o ile zachodz膮 do tego przes艂anki).
W ponad po艂owie przypadk贸w opisywanych w raporcie Grant Thornton (55 proc.) to administrator danych osobowych w firmie poinformowa艂 Prezesa UODO o naruszeniu ochrony danych osobowych. W cz臋艣ci przypadk贸w post臋powanie zosta艂o wszcz臋te po zg艂oszeniu podmiotu trzeciego.
Jak poinformowano, 14 kar zosta艂o na艂o偶onych w zwi膮zku umy艣lnym dzia艂aniem b膮d藕 zaniechaniem ze strony administratora, tj. brakiem zawiadomienia organu nadzorczego o naruszeniu ochrony danych osobowych czy brakiem udzielania odpowiedzi na wezwania Prezesa UODO.
鈥濻tanowi to wa偶n膮 wskaz贸wk臋 dla administrator贸w, 偶eby nie ukrywali ewentualnych incydent贸w w obszarze ochrony danych osobowych鈥� - wskazali autorzy raportu. Dodali, 偶e administratorzy powinni te偶 mie膰 na wzgl臋dzie, 偶e zaniechania w zakresie wsp贸艂pracy z organem nadzorczym, np. w przypadku braku odbioru korespondencji, r贸wnie偶 mog膮 wi膮za膰 si臋 z konsekwencjami finansowymi.
Zwr贸cono uwag臋, 偶e wysoko艣膰 kar ros艂a wraz ze skal膮 incydentu, czyli liczb膮 os贸b, kt贸rych naruszenie dotyczy艂o. Zgodnie z raportem, 艂膮czna liczba os贸b, kt贸rych dotycz膮 naruszenia powsta艂e w wyniku dzia艂a艅 lub zaniecha艅 ukaranych podmiot贸w, wynios艂a w ub.r. ponad 2,4 mln. W jednym przypadku dos锄艂o do naruszenia danych osobowych ok. 2,2 mln os贸b, co w znacz膮cy spos贸b wp艂yn臋艂o na wysoko艣膰 na艂o偶onej administracyjnej kary pieni臋偶nej - dodano.
Analitycy dodali, 偶e 11 kar, jakie na艂o偶y艂 UODO, dotyczy艂o narusze艅 nieumy艣lnych. Do tej kategorii Prezes UODO zaliczy艂 korzystanie z zasob贸w informatycznych pozbawionych bie偶膮cego wsparcia ich producent贸w, wynikaj膮ce z niedbalstwa; niedope艂nienie obowi膮zku zastosowania odpowiednich 艣rodk贸w bezpiecze艅stwa skutkuj膮ce utart膮 pendrive'a czy niepodj臋cie dzia艂a艅 zmierzaj膮cych do prawid艂owego wdro偶enia 艣rodk贸w bezpiecze艅stwa, pomimo posiadanej analizy ryzyka.
鈥濿arto pami臋ta膰, 偶e brak wdro偶enia odpowiednich 艣rodk贸w zabezpieczaj膮cych dane osobowe, w sytuacji w kt贸rej administrator by艂 艣wiadomy niedostateczno艣ci tych 艣rodk贸w, jest przyczyn膮 umy艣lnego naruszenia przepis贸w RODO鈥� - wskazano w raporcie.
Z opracowania wynika, 偶e w 18 przypadkach na艂o偶one kary zwi膮zane by艂y z naruszeniem danych, takich jak numer PESEL czy seria i numer dowodu osobistego, co skutkowa艂o surowszymi konsekwencjami finansowymi dla administratora. Dziewi臋膰 na艂o偶onych kar dotyczy艂o sytuacji zwi膮zanych z danymi osobowymi szczeg贸lnej kategorii, zwi膮zanych g艂贸wnie ze stanem zdrowia oraz 艣wiatopogl膮dem.
W艣r贸d zdarze艅, kt贸re prowadz膮 do incydent贸w, wymieniono: wys艂anie do nieuprawnionego adresata wiadomo艣ci e-mail zawieraj膮cej niezabezpieczon膮 has艂em baz臋 danych; upublicznienie dokument贸w znajduj膮cych si臋 w porzuconej przesy艂ce; zgubienie zewn臋trznego no艣nika danych (pendrive); udost臋pnienie na profilu listy uczestnik贸w; ataki 锄艂o艣liwego oprogramowania, w tym ransomware.
鈥濿a偶nym wnioskiem p艂yn膮cym z naszego badania jest konieczno艣膰 przeprowadzenia analizy ryzyka oraz wdro偶enia odpowiednich 艣rodk贸w technicznych i organizacyjnych, kt贸re skutecznie zabezpiecz膮 przetwarzane dane osobowe鈥� - wskazali analitycy.
Dodali, 偶e administratorzy powinni regularnie testowa膰, mierzy膰 i ocenianie skuteczno艣ci 艣rodk贸w technicznych i organizacyjnych, a tak偶e na bie偶膮co aktualizowa膰 oprogramowanie wykorzystywane do przetwarzania danych osobowych. Powinni oni te偶 wprowadzi膰 zabezpieczenia maj膮ce na celu ochron臋 danych na wypadek awarii, kradzie偶y lub zagubienia zewn臋trznego no艣nika. Pracodawca powinien z kolei zadba膰 o szkolenia pracownik贸w z zakresu ochrony danych osobowych.
Grant Thornton to organizacja zrzeszaj膮ca firmy 艣wiadcz膮ce us艂ugi audytorskie i doradcze. Dzia艂a w 147 pa艅stwach, zatrudniaj膮c ponad 68 tys. pracownik贸w. W Polsce funkcjonuje od 1993 roku i zatrudnia ponad tysi膮c os贸b. (PAP)
mbl/ mick/