Omyłkowy plik w dziekanacie, realna kara: co uczelnia zrobiła źle i czego inne instytucje mogą się nauczyć

Plik z danymi osobowymi blisko tysiąca studentów trafił do nieuprawnionych odbiorców przez zwykłą pomyłkę pracownika. Wyższa Szkoła Logistyki w Poznaniu zapłaciła za to ponad 64 tysiące złotych kary. Ale nie dlatego, że ktoś się pomylił, lecz dlatego, że uczelnia nigdy nie przewidziała, iż ktoś może się pomylić.

Najważniejsze:

• Analiza ryzyka, która pomija ryzyko ludzkiego błędu, jest niekompletna i UODO to egzekwuje finansowo.
• Ponowna analiza ryzyka po incydencie, która nie zmienia katalogu zagrożeń, nie spełnia wymogu rozliczalności.
• Nieudokumentowane kontrole wewnętrzne są dla UODO równoznaczne z brakiem kontroli.
• Oprócz kary uczelnia musi przebudować cały system oceny i zarządzania ryzykiem w przetwarzaniu danych.

Co się wydarzyło: pomyłka, której nikt nie przewidział

Na platformie internetowej dziekanatu Wyższej Szkoły Logistyki w Poznaniu pracownik dołączył do komunikatu o przydziałach studentów do grup specjalnościowych i językowych plik zawierający szczegółowe dane osobowe studentów przyjętych na studia w poprzednim roku. Plik trafił do osób, które nie powinny mieć do niego dostępu. Uczelnia samodzielnie zgłosiła incydent Prezesowi UODO, co jest ustawowym obowiązkiem administratora danych.

Kto widział plik i co z nim zrobił

Dane dotyczyły 964 studentów. Jednak sama skala wycieku to tylko część obrazu, równie ważne jest to, co faktycznie wydarzyło się z plikiem po jego opublikowaniu. Poniższa tabela porządkuje kategorie, które łatwo ze sobą pomylić:

Liczba pobrań (361) przekracza liczbę osób, które plik otworzyły (125). Oznacza to, że część osób pobierała dokument bez uprzedniego otwarcia go w przeglądarce, albo ten sam plik był pobierany wielokrotnie. Pobranie nie jest równoznaczne z przejrzeniem, ale z perspektywy ochrony danych jest to ryzyko dalszego rozpowszechnienia, którego nie można zignorować.

Dlaczego UODO uznał to za błąd systemowy, a nie nieszczęśliwy wypadek

Sama pomyłka pracownika nie przesądziła o karze. Decydujące było to, co organ nadzorczy znalazł w dokumentacji: uczelnia analizowała wcześniej ryzyka takie jak awaria sprzętu, uszkodzenie systemu informatycznego, atak wirusa, nieuprawniony dostęp do danych czy utrata zewnętrznego nośnika i ujawnienie haseł dostępowych. Nie uwzględniła natomiast ryzyka omyłkowego ujawnienia danych przez pracownika, a to właśnie taki scenariusz się zrealizował.

Jeszcze bardziej wymowne było zachowanie uczelni po incydencie. Po zgłoszeniu naruszenia przeprowadzono ponowną analizę ryzyka, ale objęła ona dokładnie ten sam katalog zagrożeń co poprzednio. Scenariusz, który właśnie się wydarzył, ponownie nie znalazł się na liście. Dla UODO był to dowód, że uczelnia nie potraktowała incydentu jako sygnału do weryfikacji systemu bezpieczeństwa.

Czytaj także: Pacjenci onkologiczni a sektor finansowy: UODO domaga się systemowej ochrony danych

Uczelnia poinformowała też organ, że przed incydentem prowadzono wybiórcze kontrole sposobów przesyłania informacji do studentów i nie stwierdzano nieprawidłowości. UODO odrzucił ten argument, ponieważ administrator nie przedstawił żadnej dokumentacji potwierdzającej przeprowadzenie takich kontroli ani nie wyjaśnił, w jaki sposób ustalono, że wcześniejsze komunikaty nie zawierały nadmiarowych danych. Niezapisana kontrola to dla organu brak kontroli.

Mechanizm kary: od braku analizy do dowolności zabezpieczeń

Prezes UODO ustalił, że uczelnia naruszyła zasadę integralności i poufności danych oraz zasadę rozliczalności wynikające z RODO. Naruszono konkretne artykuły rozporządzenia nakładające na administratora obowiązek wdrożenia środków technicznych i organizacyjnych adekwatnych do realnego ryzyka przetwarzania danych.

Logika decyzji jest następująca: błędna analiza ryzyka prowadzi do doboru zabezpieczeń w sposób dowolny, a nie oparty na faktycznych zagrożeniach. Dowolnie dobrane zabezpieczenia nie chronią przed zagrożeniami, które pominięto. Kiedy jedno z pominiętych zagrożeń się materializuje, administrator nie może powiedzieć, że zrobił wszystko, co należało. Kara jest konsekwencją całego łańcucha, a nie tylko jego ostatniego ogniwa.

Oprócz kary finansowej Prezes UODO nakazał uczelni dostosowanie operacji przetwarzania do przepisów rozporządzenia 2016/679 poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych, opartych na rzetelnej analizie ryzyka uwzględniającej stan wiedzy technicznej, koszt wdrożenia, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych.

Co konkretnie powinny zrobić inne uczelnie i nie tylko one

Sprawa Wyższej Szkoły Logistyki to praktyczny przewodnik po błędach, które mogą popełniać dowolne instytucje przetwarzające dane dużych grup osób. Poniżej konkretna lista działań, które wynikają bezpośrednio z ustaleń UODO w tej sprawie:

• Uwzględnij błąd ludzki w analizie ryzyka. Scenariusze takie jak omyłkowe dołączenie pliku, wysłanie wiadomości do niewłaściwego odbiorcy czy przypadkowa publikacja dokumentu to nie teoria, to codzienność każdej organizacji. Jeśli ich nie ma na liście zagrożeń, analiza jest niekompletna.
• Zaktualizuj analizę po każdym incydencie. Ponowna analiza, która nie zmienia katalogu zagrożeń po tym, jak jeden z nich się zrealizował, jest dokumentem pozornym. UODO traktuje ją jako dowód braku rzeczywistego przeglądu.
• Dokumentuj kontrole wewnętrzne. Każda weryfikacja sposobu publikowania, przesyłania lub udostępniania danych powinna zostawić ślad: kto sprawdzał, kiedy, co sprawdzono i jaki był wynik. Ustne zapewnienia nie mają wartości dowodowej.
• Przejrzyj uprawnienia dostępu do platform dziekanatowych i podobnych systemów. Kto i do czego ma dostęp? Czy osoba publikująca komunikat może przypadkowo dołączyć plik z innego obszaru systemu? Czy istnieje mechanizm podglądu lub zatwierdzenia przed publikacją?
• Wprowadź procedury weryfikacji przed publikacją komunikatów zbiorczych. Wiadomości do dużych grup odbiorców powinny przechodzić przez co najmniej jeden dodatkowy punkt kontrolny, właśnie dlatego, że skala potencjalnej szkody jest proporcjonalna do liczby odbiorców.

Najczęściej zadawane pytania

Czy moja uczelnia może mieć ten sam problem?

Jeśli analiza ryzyka na twojej uczelni nie zawiera scenariuszy związanych z błędem pracownika, omyłkowym dołączeniem pliku, wysłaniem danych do złej grupy odbiorców, przypadkową publikacją, to tak, ryzyko jest realne. Warto sprawdzić, kiedy ostatnio aktualizowano analizę ryzyka i czy obejmuje ona zagrożenia wynikające z codziennych procesów administracyjnych, nie tylko z ataków zewnętrznych.

Jak przygotować się na ewentualną kontrolę UODO?

Kluczowe są trzy rzeczy: aktualna i kompletna analiza ryzyka (uwzględniająca błąd ludzki), udokumentowane kontrole wewnętrzne oraz dowody na to, że środki bezpieczeństwa wynikają z tej analizy, a nie zostały dobrane przypadkowo. UODO ocenia nie tylko to, czy doszło do naruszenia, ale czy instytucja była na nie przygotowana i czy wyciągnęła wnioski z wcześniejszych zdarzeń.

Dlaczego uczelnia dostała karę, skoro sama zgłosiła naruszenie?

Obowiązek zgłoszenia naruszenia wynika wprost z RODO i jego spełnienie nie zwalnia administratora z odpowiedzialności za przyczyny, które do naruszenia doprowadziły. UODO docenia transparentność, ale ocenia ją oddzielnie od oceny adekwatności zabezpieczeń. W tej sprawie problemem nie było samo zdarzenie, lecz systemowe braki w analizie ryzyka, zarówno przed incydentem, jak i po nim.

Co oznacza liczba pobrań wyższa niż liczba osób, które otworzyły plik?

Plik mógł być pobierany wielokrotnie przez te same osoby lub, co bardziej niepokojące z punktu widzenia ochrony danych, mógł trafić do osób trzecich. Pobranie tworzy lokalną kopię, nad którą administrator traci kontrolę. Dlatego liczba pobrań jest często ważniejszym wskaźnikiem rzeczywistej skali naruszenia niż liczba wyświetleń.

Materiał przygotowany z wykorzystaniem narzędzi sztucznej inteligencji.

Fot. MART PRODUCTION / Pexels