Kancelaria podatkowa ukarana za niezabezpieczoną pocztę – lekcja dla każdej małej firmy

Prezes Urzędu Ochrony Danych Osobowych ukarał finansowo administratora prowadzącego kancelarię podatkową za brak odpowiednich zabezpieczeń poczty elektronicznej. Przez lukę w systemie osoba nieuprawniona przejęła firmowe konto pocztowe, na którym przechowywano dane osobowe ponad stu klientów i ich rodzin. Sprawa odsłania mechanizm, o którym wiele małych firm nie ma pojęcia: odpowiedzialność za naruszenie przepisów o ochronie danych nie zaczyna się w chwili, gdy informacje trafią w niepowołane ręce, zaczyna się wtedy, gdy firma nie jest w stanie wykazać, że zrobiła wszystko, co rozsądnie możliwe, by do tego nie dopuścić.

Najważniejsze:

• Prezes UODO nałożył karę finansową na kancelarię podatkową za brak zabezpieczeń konta pocztowego, z którego korzystał jeden z pracowników, na skrzynce znajdowały się dane osobowe 111 podmiotów danych: klientów, ich pracowników oraz dzieci zgłoszonych do ubezpieczenia zdrowotnego.
• Przed wykryciem incydentu firma nie dysponowała ani polityką bezpieczeństwa, ani analizą ryzyka, dokumenty te wdrożyła dopiero w trakcie postępowania prowadzonego przez UODO, co nie uchroniło jej przed sankcją.
• Brak dowodu na faktyczne skopiowanie danych przez intruza nie zwalnia administratora z odpowiedzialności, sam nieuprawniony dostęp jest już naruszeniem w rozumieniu przepisów o ochronie danych.
• Mechanizm odpowiedzialności jest identyczny dla mikrofirmy i dla dużej spółki, organ nadzorczy ocenia, czy administrator miał procedury, testował je i mógł zweryfikować, co stało się z danymi.

Skrzynka pocztowa jako punkt wejścia i centrum danych

Sprawa zaczęła się od zgłoszenia, które sama kancelaria skierowała do organu nadzorczego, co jest prawnie wymaganą reakcją po wykryciu naruszenia. Administrator poinformował urząd, że podmiot zewnętrzny uzyskał dostęp do służbowej skrzynki pocztowej należącej do jednego z pracowników. Na tym koncie przetwarzano dane osobowe ponad stu podmiotów: bezpośrednich klientów kancelarii, ich pracowników, a nawet dzieci zgłoszonych do ubezpieczenia zdrowotnego.

Zgłoszenie incydentu stało się dla UODO punktem wyjścia do szerszej oceny sposobu, w jaki firma zarządzała danymi w formie elektronicznej. Innymi słowy: dobrowolne poinformowanie organu uruchomiło kontrolę, która odsłoniła problemy znacznie poważniejsze niż sam incydent. To ważna lekcja: terminowe zgłoszenie naruszenia jest obowiązkiem, ale jednocześnie wprawia w ruch postępowanie, które bada cały system ochrony danych w organizacji, nie tylko zdarzenie jednostkowe.

Dlaczego „nic nie skradziono” to za słaby argument

Kancelaria broniła się, wskazując, że co prawda z przejętego konta wysłano wiadomości, jednak brak dowodów na to, by intruz rzeczywiście pobrał zgromadzone tam dane. Prezes UODO tego argumentu nie zaakceptował, i nie był to gest arbitralności, wynikało to wprost z logiki przepisów.

Czytaj także: Deepfake wciąż bez kary: prezes UODO alarmuje o bezradności polskiego prawa

Organ nadzorczy wyjaśnił, że naruszenie ochrony danych osobowych w rozumieniu obowiązujących regulacji to zdarzenie naruszające bezpieczeństwo, które prowadzi do zniszczenia, utraty, modyfikacji bądź bezprawnego udostępnienia danych albo uzyskania do nich dostępu przez osobę nieuprawnioną, niezależnie od tego, czy nieuprawniony podmiot faktycznie skorzystał z uzyskanej możliwości. Już sam nieuprawniony dostęp spełnia tę definicję.

Kluczowy problem polegał na tym, że firma w ogóle nie była w stanie ustalić pełnego obrazu zdarzenia: nie wiedziała, od kiedy skrzynka pozostawała pod cudzą kontrolą, jak długo trwał nieuprawniony dostęp ani czy dane zostały pobrane. Pracownik korzystał z konta sporadycznie, więc nieprawidłowości długo mogły pozostawać niezauważone. Dostawca usługi hostingowej sam zablokował skrzynkę, aktywując mechanizm przeciwdziałający wysyłce spamu, kancelaria dowiedziała się o problemie niejako z zewnątrz. Firma nie miała dostępu do logów systemowych ani żadnych innych narzędzi diagnostycznych, które pozwoliłyby odtworzyć chronologię zdarzeń.

Czytaj także: Rekordowe kary od UODO. A nadchodzi jeszcze dyrektywa NIS 2

Praktyczna implikacja jest poważna: brak logów oznacza brak możliwości obrony. Firma, która nie może udowodnić, że nic się nie wydarzyło, ponosi odpowiedzialność tak, jakby coś się wydarzyło. To nie jest kwestia złej woli organu, to konsekwencja zasady rozliczalności wbudowanej w przepisy o ochronie danych, która przenosi ciężar wykazania prawidłowości działania na administratora, a nie na organ nadzorczy.

Trzy warstwy uchybień: procedury, testy, narzędzia

Kontrola wykazała, że przed wykryciem naruszenia w kancelarii brakowało trzech wzajemnie powiązanych elementów. Po pierwsze, firma nie miała żadnych wewnętrznych regulacji dotyczących ochrony danych osobowych, żadnej polityki bezpieczeństwa, żadnych pisemnych zasad postępowania z danymi w formie elektronicznej. Po drugie, nie przeprowadzono analizy ryzyka dla procesów przetwarzania danych w systemach, które padły ofiarą ataku. Po trzecie, stosowane zabezpieczenia nie były regularnie sprawdzane ani oceniane pod kątem skuteczności, nie wiadomo więc było, czy w ogóle działają i czy odpowiadają aktualnym zagrożeniom.

Dopiero po ujawnieniu incydentu, już w trakcie postępowania administracyjnego, administrator przystąpił do nadrabiania zaległości. Przeprowadził analizę ryzyka, wdrożył Politykę Bezpieczeństwa Informacji oraz inne regulacje wewnętrzne, a także zlecił audyt infrastruktury informatycznej. Działania te nie cofnęły kary, ale ich podjęcie zostało odnotowane przez organ i mogło wpłynąć na jej ostateczną wysokość.

Co konkretnie zrobić, i od czego zacząć dziś

Dla małej firmy lub freelancera przetwarzającego dane klientów przez pocztę elektroniczną lista niezbędnych działań obejmuje pięć obszarów:

• Analiza ryzykapisemna odpowiedź na pytania: jakie dane przetwarzam, w jakich systemach, kto ma do nich dostęp, co może pójść nie tak i jakie środki stosuje, by temu zapobiec. Dla mikrofirmy nie musi to być obszerny dokument, kilka stron rzetelnej refleksji nad własnymi procesami jest lepsze niż żaden dokument.
• Polityka bezpieczeństwa informacjispisane zasady: kto może logować się na firmowe konta, jak tworzyć i przechowywać hasła, co robić po wykryciu podejrzanego zdarzenia. Dokument ten można opracować samodzielnie; jeśli firma korzysta z usług Inspektora Ochrony Danych, warto zlecić mu weryfikację.
• Dostęp do logówto najprostsze działanie o bezpośrednim wpływie na zdolność obrony w postępowaniu. Większość dostawców poczty i usług hostingowych przechowuje logi logowań; warto sprawdzić, jak do nich dotrzeć, zanim zajdzie taka potrzeba. Dwuskładnikowe uwierzytelnianie (2FA) na wszystkich kontach pocztowych włącza się w kilkanaście minut i nie wymaga żadnych nakładów finansowych, adresuje dokładnie tę słabość, która kosztowała kancelarię utratę kontroli nad skrzynką.
• Regularne testowanie zabezpieczeńprzynajmniej raz w roku weryfikacja, czy stosowane środki (silne hasła, 2FA, szyfrowanie) faktycznie działają i czy odpowiadają aktualnym zagrożeniom. Brak testowania był jednym z trzech uchybień wprost wskazanych w decyzji.
• Procedura reagowania na incydentplan na wypadek przejęcia konta: kogo natychmiast poinformować, w jakim terminie zgłosić naruszenie do UODO, jak zabezpieczyć dowody i logi przed ich nadpisaniem.

Spośród tych działań włączenie 2FA i sprawdzenie, czy dostawca poczty udostępnia logi logowań, to punkt startowy, który kosztuje zero złotych i adresuje dokładnie tę słabość, która doprowadziła do ukarania kancelarii.

Skala kary: ile to znaczy dla mikroprzedsiębiorcy

Nałożona kara finansowa może sprawiać wrażenie niewielkiej w zestawieniu z wielomilionowymi sankcjami wymierzanymi dużym podmiotom. Dla jednoosobowej lub kilkuosobowej kancelarii podatkowej jest to jednak kwota realnie odczuwalna, równowartość kilku lub kilkunastu tysięcy złotych, a więc miesięczny lub kilkumiesięczny dochód netto w przypadku mniejszych biur. Nie jest to kara symboliczna.

Jednocześnie przepisy o ochronie danych przewidują maksymalne sankcje liczone w milionach euro lub określonym procencie globalnego obrotu, nałożona kwota stanowi zatem ułamek dopuszczalnego limitu. To sugeruje, że organ wziął pod uwagę zarówno skalę działalności kancelarii, jak i fakt podjęcia działań naprawczych w toku postępowania. Działania naprawcze podjęte po incydencie nie eliminują kary, ale wpływają na jej wymiar, to wniosek, który ma praktyczne znaczenie dla każdego administratora stojącego przed podobną sytuacją.

Kto odpowiada: administrator czy dostawca usługi?

Sprawa kancelarii rozstrzyga też wątpliwość często pojawiającą się wśród małych firm korzystających z zewnętrznych usług pocztowych i hostingowych. Fakt, że to dostawca hostingu zablokował skrzynkę (uruchamiając własny filtr antyspamowy), nie przesunął odpowiedzialności na tego dostawcę. Odpowiedzialnym pozostał administrator danych, ponieważ to on decydował, jakie dane i w jaki sposób są przetwarzane na tym koncie, i to on był zobowiązany do wdrożenia odpowiednich środków technicznych oraz organizacyjnych. Korzystanie z cudzej infrastruktury nie zwalnia z obowiązku wiedzenia, co się z danymi dzieje, i posiadania narzędzi pozwalających to zweryfikować.

Tabela: czego zabrakło i co to kosztuje w praktyce

Najczęściej zadawane pytania

Czy przepisy o ochronie danych dotyczą też jednoosobowej działalności z kilkoma klientami?

Tak, bez wyjątku. Każdy, kto przetwarza dane osobowe innych osób, imiona, adresy e-mail, dane pracowników klientów czy informacje o dzieciach, jest administratorem danych i podlega tym samym przepisom co duża korporacja. Sprawa kancelarii podatkowej dotyczyła właśnie podmiotu działającego na małą skalę.

Czy zgłoszenie naruszenia do UODO pogarsza sytuację administratora?

Niezgłoszenie naruszenia, gdy istnieje taki obowiązek, jest samo w sobie uchybieniem i może skutkować odrębną sankcją. Zgłoszenie uruchamia co prawda postępowanie, które bada szerszy kontekst ochrony danych w firmie, ale prawidłowe i terminowe poinformowanie organu jest elementem ocenianym przy ustalaniu wysokości ewentualnej kary. Brak zgłoszenia z reguły pogarsza sytuację administratora, nie poprawia jej.

Czy działania naprawcze podjęte po incydencie mają jakiekolwiek znaczenie?

Wdrożenie polityki bezpieczeństwa, przeprowadzenie analizy ryzyka i audyt infrastruktury, podjęte przez kancelarię już w trakcie postępowania, nie wyeliminowały kary, ale zostały odnotowane przez organ i wpłynęły na jej ostateczny wymiar. To dowód, że reaktywna poprawa bezpieczeństwa jest lepsza niż jej całkowity brak, choć nie zastępuje proaktywnego działania przed incydentem.

Fot. Jep Gambardella / Pexels