Tag Archives: naruszenie

Wpis jest efektem wielu przemyśleń oraz doświadczeń moich i znajomych IOD, wynikających ze zgłaszania naruszeń do Prezesa UODO. Zacznę od najprostszego – tak jest to naruszenie ochrony danych. Wynika to bezpośrednio z definicji z art. 4 RODO. Pracownik, który nie jest upoważniony do przetwarzania określonych danych, staje się nieuprawnionym odbiorcą danych, w momencie ich udostępnienia. Zatem rozważania skupię na ocenie tego, jak wysokie ryzyko dla osób fizycznych, generuje takie naruszenie. Na ile ma znaczenie, że nieuprawnionym (zazwyczaj przypadkowym) odbiorcą danych jest pracownik?

Fakty: administrator zapewnia przeszkolenie swojego personelu z ochrony danych osobowych. Ponadto powinien zobligować pracowników do zachowania poufności. Poza tym często dochodzą dodatkowe okoliczności: znajomość zachowań pracownika, wieloletnia współpraca i zaufanie. Czy pracownik będzie w takim wypadku „zaufanym odbiorcą”?

W przepisach RODO nie ma definicji zaufanego odbiorcy. Takie określenie pojawia się w aplikacjach bankowych, w odniesieniu do osób lub podmiotów, do których klietn chce wykonywać przelewy bez konieczności podawania dodatkowych poświadczeń. To klient, a nie bank określa, kto jest zaufany, a kto nie. O zaufanym odbiorcy wspomniała także EROD w wytycznych 1/2021, dotyczących naruszeń. Pojęcie to pojawia się w przykładzie naruszenia, polegającego na udostępnieniu danych osobowych agentowi ubezpieczeniowemu. Co istotne, agent został uznany za zaufanego odbiorcę ze względu na fakt ustawowego zobligowania do zachowania w poufności danych przetwarzanych w związku z wykonywaniem zawodu (mail z danymi od klienta, więc zaliczał się do tej kwalifikacji), sam zgłosił naruszenie i pracował z klientem na tyle długo, że jest etyka nie wzbudzała wątpliwości. Logiczne? Raczej problematyczne, bo okazuje się, że jest to uznanowia definicja, gdzie administrator może mieć odmienne zdanie od organu nadzorczego.

Jak jest w praktyce?

Odpowiedź jest bardzo prosta: nigdy. Zgłoszenie naruszenia jest czynnością techniczną, na którą Prezes UODO nie ma obowiązku odpowiadać. Jedyną informacją zwrotną może być urzędowe poświadczenie odbioru, jeśli przekazałeś zgłoszenie drogą elektroniczną. Wynika to z faktu, że zgłoszenie naruszenia nie odbywa się w trybie Kodeksu Postępowania Administracyjnego [KPA], tzn. nie powoduje wszczęcia postępowania z urzędu. Jest to bardzo ważne, bo postępowania wiążą się z określonym formalizmem, także w zakresie dotrzymania przez strony postępowania określonych terminów. Szczerze mówiąc – przy aktualnych zasobach i braku automatyzacji procesu analizy naruszeń, konieczność wszczynania postępowań administracyjnych doprowadziłaby do totalnego paraliżu Urzędu Ochrony Danych Osobowych.

Myślę, że nie tylko mi spędza sen z powiek kwestia przesyłania dokumentów z danymi osobowymi (np. umów) tradycyjną pocztą lub poprzez firmę kurierską. I nie chodzi mi o koszty, a fakt, że te przesyłki zbyt często (jak na moje standardy) giną lub są przekazane niewłaściwej osobie. Nie ulega wątpliwości, że takie zdarzenie to naruszenie ochrony danych osobowych. Powstaje jednak pytanie, kto za nie odpowiada i powinien je (ewentualnie) zgłosić do organu nadzorczego?

Problem wynika przede wszystkim z faktu, że od nadania przesyłki, nadawca nie ma już żadnego wpływu na to, czy i w jaki sposób została dostarczona. Zatem to podmiot doręczający ponosi odpowiedzialność, za prawidłowe zrealizowanie usługi. Ale przesyłka nie trafi do adresata, to zagubieniu lub ujawnieniu podlegają dane, dla których administratorem jest nadawca.

Dotychczasowe opinie oraz stanowiska Prezesa UODO, wskazują na jednoznaczne podejście: naruszenie zgłasza nadawca, jako administrator danych zawartych w przesyłce.

Zaczęło się od PUE ZUS. A właściwie od kary dla Banku Santander związanego z dostępem byłego pracownika do PUE ZUS. Jednak okazało się, że ustalanie użytkowników tego systemu, jest otwarciem puszki Pandory. Czytaj do końca, bo ten wpis jest bardzo pouczający i zapewne dowiesz się z niego, jak zrobić najbliższy audyt uprawnień do systemów informatycznych. I zdziwisz się, że wcześniej pewne rzeczy „nie przyszły Ci do głowy”.

Danie pracownikom dostępu do PUE ZUS, to tykająca bomba?

Niedawno zadzwonił do mnie kolega i poinformował o niezwykłym odkryciu. Okazało się, że w PUE ZUS nie ma możliwości sprawdzenia kto z naszej firmy ma aktywne lub nieaktywne konto użytkownika. Niby nic, ale jest to dość istotne, bo w praktyce jako IOD / administrator nie mamy możliwości zweryfikowania, czy dostępy użytkowników zostały odebrane skutecznie. Zweryfikowałam u moich klientów i faktycznie, w ich systemach także nie ma opcji sprawdzenia, kto aktualnie ma dostęp do systemu. W praktyce okazuje się, że dostępami zarządza administrator systemu, czyli ZUS. Ma to sens, gdy spojrzymy na obowiązki ZUS wynikające z ustawy o systemie ubezpieczeń społecznych, w zakresie zapewnienia bezpieczeństwa danych przetwarzanych w ramach systemu. Tak, to ZUS jest administratorem tych danych, a nie Płatnik (czyli firma, w której jesteś IOD).

Uprawnienia do PUE ZUS nadaje się i odbiera poprzez przekazanie do ZUS pełnomocnictwa (elektronicznie, listem lub osobiście). Jednakże samo przekazanie pełnomocnictwa nie stanowi potwierdzenia, że uprawnienia zostały odebrane. Przepisy, czy regulamin platformy nie określają też czasu, po jakim uprawnienia powinny być odebrane. Zapytałam się u źródła, jak to wygląda w praktyce. Otrzymałam (niezwykle szybko) odpowiedź:

Zasady, zakres i warunki korzystania przez Usługobiorców z portalu PUE ZUS określa Regulamin, o którym mowa w art. 8 ust. 1 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2020 r. poz. 344). Zgodnie § 4 ust. 2 Regulaminu, dostęp do danych płatnika będącego osobą prawną lub jednostką organizacyjną nieposiadającą osobowości prawnej, może uzyskać osoba fizyczna, która ma zarejestrowany profil w portalu PUE ZUS i posiada stosowne pełnomocnictwo udzielone przez płatnika. Odwołanie tego pełnomocnictwa odbywa się w trybie natychmiastowym przez złożenie formularza PEL-O (odwołanie pełnomocnictwa).

Zapewne wewnętrzne procedury wymagają natychmiastowego działania po stronie ZUS, jednak wiem, że najsłabszym ogniwem każdego systemu bezpieczeństwa jest człowiek, który może mieć dużo innych obowiązków, który może tego dnia nie być obecny w pracy lub po prostu pomylić się. W praktyce pewnie większość administratorów (płatników) odwołuje pełnomocnictwo ostatniego dnia pracy pracownika. Można zatem założyć, że podpisany wniosek trafia do ZUS popołudniu. Czy faktycznie w urzędzie ktoś go natychmiast odbierze i zrealizuje? Co jeśli wniosek będzie wysłany w piątek popołudniu – czy zostanie zrealizowany w weekend? A jeśli zostanie przekazany osobiście lub tradycyjną pocztą, też zakładam, że minie kilka lub kilkanaście dni, zanim zostanie zrealizowany. I nie wynika to ze złej woli, ale z niewłaściwych procedur.

Dla mnie, jako IOD istotne jest to, że nie jestem w stanie stwierdzić, czy dostęp został już odebrany i nie mam na to żadnego wpływu. A także to, jak skutecznie udowodnić, że odwołało się pełnomocnictwo w ZUS? Jeżeli było to zrealizowane elektronicznie, należy pamiętać, że wniosek mógł już ulec archiwizacji w systemie i pozostaje jedynie UPO, które bez dokumentu źródłowego nic nie znaczy.

Pracownicy wiedzieli o naruszeniu, ale mi go nie zgłosili. Gdy dowiedziałam się o nim z innego źródła, byli na mnie źli, że się czepiam, co robić? Takie pytanie dostałam od koleżanki z branży, która oczywiście bardzo się zestresowała sprawą, bo jest zaangażowana, pewnie jak większość z nas, w swoje obowiązki. I zdenerwowała się tym, że pracownicy przy naruszeniu ochrony danych, po prostu zamietli wszystko pod dywan.

Smutna prawda jest taka, że może to spotkać prędzej czy później każdego inspektora. Najgorzej jest wtedy, gdy zangażujemy się zbyt mocno, za bardzo się staramy, zaczynamy myśleć o administratorze danych i jego organizacji, tak jakby to były nasze dane, jakby to była nasza odpowiedzialność. Pamiętajcie jako Inspektorzy Ochrony Danych, tak naprawdę odpowiadacie za monitorowanie zgodności, i to administrator danych ma Was włączać we wszystkie procesy przetwarzania, to pracownicy są zobligowani do tego, żeby Was poinformować o naruszeniu. Jeżeli pracownicy nie wywiązali się ze swojego obowiązku, schowali sprawę pod dywan,  zamknęli ją w szafie, wiedzieli, że jest naruszenie, ale udawali że nic się nie stało, to w tym momencie nie ma sensu się stresować, nie ma sensu też na nich się denerwować . To nie jest Wasz problem.