UODO ukarał rzecznika dyscyplinarnego izby adwokackiej grzywną w wysokości 23 580 zł za naruszenie bezpieczeństwa danych

05/06/2023

Polski organ ochrony danych osobowych opublikował swoją decyzję w sprawie nr DKN.5131 .31.2022, w której nałożył na rzecznika dyscyplinarnego nienazwanej izby adwokackiej grzywnę w wysokości 23 580 złotych za naruszenie art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 25 ust. 1, art. 32 ust. 1 i art. 32 ust. 2 ogólnego rozporządzenia o ochronie danych (RODO) w następstwie zgłoszenia UODO naruszenia ochrony danych.

UODO ukarał rzecznika dyscyplinarnego izby adwokackiej grzywną w wysokości 23 580 zł za naruszenie bezpieczeństwa danych

UODO wskazał, że sprawa dotyczy otrzymania przez rzecznika dyscyplinarnego uszkodzonej przesyłki, w której, wbrew treści pisma określającego jej zawartość, brakowało pendrive'a. Pendrive, który nie został zaszyfrowany, zawierał nagranie rozprawy rozwodowej z danymi osobowymi ośmiu osób, w tym imionami, nazwiskami, szczegółami życia rodzinnego, relacjami stron i podejrzeniami o zdradę małżeńską.

Po przeprowadzeniu postępowania wyjaśniającego UODO stwierdził, że analiza ryzyka przeprowadzona przez rzecznika dyscyplinarnego była niewystarczająca ze względu na wybór środków ochrony bezpieczeństwa danych osobowych podczas korzystania z pendrive'a. W związku z tym UODO uznał, że wobec braku udokumentowanego regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania, rzecznik dyscyplinarny naruszył art. 5 ust. 1 lit. f), art. 5 ust. 2, art. 25 ust. 1, art. 32 ust. 1 i art. 32 ust. 2 RODO.

Ostatecznie UODO uznał, że rzecznik dyscyplinarny naruszył wyżej wymienione artykuły RODO i nakazał mu dostosowanie czynności przetwarzania do RODO w ciągu sześciu miesięcy od powiadomienia o decyzji, poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych w celu:

-zminimalizowania ryzyka związanego z przetwarzaniem danych osobowych za pomocą zewnętrznych nośników danych, po przeprowadzeniu analizy ryzyka uwzględniającej stan wiedzy technicznej, koszt wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw osób fizycznych, w tym ryzyka związanego z przetwarzaniem danych osobowych za pomocą zewnętrznych nośników pamięci, z uwzględnieniem kradzieży i utraty takich nośników; oraz

-zapewnienia, że skuteczność takich środków w zakresie ochrony przetwarzania danych jest regularnie testowana, mierzona i oceniana.

Więcej: https://www.uodo.gov.pl/decyzje/DKN.5131.31.2022

Jeżeli chcesz być informowany na bieżąco o naszych publikacjach w www.odoserwis.pl dołącz do nas:

Facebook https://www.facebook.com/odoserwis.pl.2016/

Linkedin https://www.linkedin.com/company/odoserwis-pl/

-----------------------------------------------------

Wydawcą odoserwis.pl jest firma JDS Consulting świadcząca usługi outsourcingu Inspektora ochrony danych, doradztwa i audytu RODO; www.jds.com.pl

Zobacz również

Decyzje organów nadzorczych UE

Irlandzka Komisja Ochrony Danych nałożyła karę 91 milionów euro na Meta Ireland za naruszenia RODO

Irlandzka Komisja Ochrony Danych (DPC) ogłosiła swoją ostateczną decyzję po dokładnym śledztwie dotyczącym Meta Platforms Ireland Limited (MPIL). Dochodzenie, rozpoczęte w kwietniu 2019 roku, zostało zainicjowane po tym, jak MPIL powiadomiło DPC o tym, że nieumyślnie pr(...)

Decyzje organów nadzorczych UE

Holenderski organ ochrony danych nakłada wysokie kary za naruszenia RODO dla Uber i Clearview AI

Holenderski Urząd Ochrony Danych Osobowych (DPA) nałożył kary finansowe na Ubera i Clearview AI za naruszenia przepisów RODO. Uber został ukarany kwotą 290 milionów euro za nielegalne przekazywanie danych osobowych kierowców z Unii Europejskiej do Stanów Zjednoczonych.(...)

Decyzje organów nadzorczych UE

Szwedzki Urząd Ochrony Prywatności (IMY) wymagania dotyczące akredytacji jednostek certyfikujących

Wymagania te będą stosowane przez Szwedzką Agencję Akredytacyjną i Nadzoru Technicznego (Swedac) przy akredytacji jednostek certyfikujących, które będą upoważnione do wydawania certyfikatów zgodnych z ogólnym rozporządzeniem o ochronie danych (RODO)