UODO nałożył 100 tys. zł kary na Krajową Szkołę Sądownictwa i Prokuratury w związku z wyciekiem danych, do jakiego doszło w ub.r.

W kwietniu ub.r. wyszło na jaw, że z uczelni wyciekły dane sędziów, asesorów sądowych, prokuratorów i asesorów prokuratury i referendarzy sądowych (m.in. z takimi danymi jak imię, nazwisko, data urodzenia, numer telefonu, adres e-mail, numery komunikatorów i zaszyfrowane hasło).

Naruszenie dotyczyło ponad 50 tys. przedstawicieli organów ścigania i wymiaru sprawiedliwości. Nieznane osoby uzyskały nieupoważniony dostęp do kopii bazy danych witryny szkoleniowej KSSIP, którą zapisano w trakcie testowej migracji do nowej platformy szkoleniowej.

Wkrótce potem zatrzymano pracownika spółki, z którą KSSiP po przetargu zawarła umowę o świadczenie usługi zarządzania zasobami serwerowymi. Sprawą zajęła się lubelska prokuratura. Jak stwierdzono, w trakcie migracji bazy danych nadano feralnemu katalogowi uprawnienia publiczne, przez co każdy mógł mieć do niego dostęp.

UODO: to uczelnia zawaliła

UODO uznał jednak, że odpowiedzialność za wyciek ponosi uczelnia, a nie spółka, która zarządzała zasobami serwerowymi. Postępowanie wobec niej umorzono.

W ocenie urzędu KSSiP nie wywiązała się z obowiązków administratora, ponieważ nie zastosowano odpowiednich środków technicznych i organizacyjnych (nie testowano ich i nie oceniano skuteczności), które pozwoliłyby zapewnić poufność usług przetwarzania danych. Nie zweryfikowano bezpieczeństwa kopii bazy danych po zakończeniu migracji.

Ponadto administrator powierzył przetwarzanie danych osobowych innemu podmiotowi, nie zobowiązując go do przetwarzania wyłącznie na udokumentowane polecenie administratora. Nie zawarł w umowie powierzenia przetwarzania danych osobowych kategorii osób, nie doprecyzował ponadto rodzaju danych osobowych przez wskazanie ich kategorii.

Nie ma podstaw do zarzutów wobec firmy

Uznano, że zewnętrzna spółka przetwarzająca dane z upoważnienia uczelni wypełniła obowiązki wynikające z umowy powierzenia i umowy głównej, a także stosowała przyjęte przez siebie środki organizacyjne mające na celu zapewnienie bezpieczeństwa systemów informatycznych.

W opinii UODO nie ma również podstaw do zarzucenia podmiotowi przetwarzającemu naruszenia obowiązku wspierania administratora w wywiązywaniu się z jego zadań. W konsekwencji postępowanie w powyższym zakresie zostało umorzone.

Artykuł Wyciek danych sędziów i prokuratorów ukarany pochodzi z serwisu CRN.

Szkoła poinformowała o kradzieży danych (m.in. prokuratorów, sędziów, pracowników sądów i prokuratur) na początku kwietnia. Niezwłocznie po złożeniu zawiadomienia o popełnieniu przestępstwa wszczęto śledztwo.

Prokuratura ustaliła, że podejrzany w trakcie testowego migrowania danych szkoły na nowo utworzoną platformę utworzył katalog, do którego przeniósł z systemu KSSiP dane osobowe pracowników wymiaru sprawiedliwości.

Dane te (imię, nazwisko, e-mail, nr telefonu) pracownicy przekazywali KSSiP, aby uzyskać dostęp do internetowej platformy szkoleniowej.
 
Następnie Krzysztof J. nadał katalogowi uprawnienia publiczne, czyli umożliwił pobieranie danych każdemu. Wyciekły one do serwisów internetowych. Kto ściągnął wystawione w ten sposób rekordy pracowników wymiaru sprawiedliwości, dotychczas nie ustalono.

Krzysztofowi J. zostanie przedstawiony zarzut udostępnienia danych umożliwiających nieuprawniony dostęp do informacji przechowywanych w systemie informatycznym KSSiP. Grozi za to do 5 lat pozbawienia wolności.

Jeszcze nie zapadła decyzja co do środków zapobiegawczych.

Śledztwo jest rozwojowe. Prokuratura nie wyklucza zatrzymania kolejnych podejrzanych.

Artykuł Wpadł podejrzany o wyciek danych z KSSiP pochodzi z serwisu CRN.

Komunikaty KSSiP informują m.in. zgłoszeniu sprawy do organów ścigania, NASK i UODO, weryfikacji systemu zabezpieczeń i czynnościach podjętych w celu usunięcia danych z serwisów, które je udostępniły. Naruszenie ochrony danych osobowych zgodnie z RODO administrator ma obowiązek zgłosić UODO w ciągu 72 godz. od stwierdzenia tego faktu, a osoby, których te dane dotyczą, mają być poinformowane bez zbędnej zwłoki.

Artykuł Kradzież danych sędziów i prokuratorów pochodzi z serwisu CRN.