Przy przetwarzaniu danych trzeba ocenić ryzyko

Niezastosowanie odpowiednich środków technicznych i organizacyjnych chroniących przetwarzane dane może doprowadzić do ich upublicznienia i wykorzystania przez nieuprawnione podmioty. Skutkiem są kary nakładane przez UODO.

W ubiegłym roku Urząd Ochrony Danych Osobowych opublikował na swojej stronie internetowej informację o ukaraniu dwóch spółek z branży medycznej za naruszenia ochrony danych osobowych. W obu przypadkach doszło do ataków hakerskich, lecz stosunkowo mało uwagi poświęcono ich praprzyczynom, tj. nieodpowiedniej ocenie ryzyka przy przetwarzaniu danych osobowych.

Pierwszy przypadek dotyczył firmy American Heart of Poland S.A., która została ukarana grzywną w wysokości 330 000 euro. W wyniku ataku hakerskiego nieuprawnione osoby uzyskały dostęp do szczegółowych danych osobowych około 21 000 osób. UODO stwierdził, że firma nie przeprowadziła właściwej analizy ryzyka, co doprowadziło do braku odpowiednich środków technicznych i organizacyjnych chroniących przetwarzane dane. Wśród naruszonych danych znalazły się m.in. imiona, nazwiska, numery PESEL, dane zdrowotne oraz informacje o zarobkach.

Drugi przypadek dotyczył Samodzielnego Publicznego Zakładu Opieki Zdrowotnej, który został ukarany grzywną w wysokości 9300 euro. W lutym 2022 roku doszło tam do ataku ransomware, w wyniku którego zaszyfrowano dane osobowe 30 000 pacjentów oraz ponad 1000 pracowników. Centrum nie przeprowadziło wcześniej analizy ryzyka, co uniemożliwiło skuteczną ochronę danych. Dopiero po ataku...