W opublikowanej decyzji Prezesa Urzędu Ochrony Danych Osobowych znajduje się bardzo dużo wartościowych wskazówek dla wszystkich administratorów danych. W przedmiotowej decyzji Prezes UODO nałożył na Politechnikę Warszawską pieniężną karę administracyjną w wysokości 45 000 zł. To co legło u podstaw takiego stanowiska organu nadzorczego dotyczyło nieuprawnionego dostępu do bazy danych administratora: Jak sama Uczelnia wskazała, ww. środki okazały się nieskuteczne w przypadku zastosowanego złośliwego narzędzia (plik typu backdoor), które nieuprawnionej osobie umożliwiło uzyskanie dostępu do danych osobowych. Organ nadzorczy wskazał: wdrożenie odpowiednich zabezpieczeń stanowi obowiązek będący przejawem realizacji ogólnej zasady przetwarzania danych – zasady integralności i poufności, określonej w art. 5 ust. 1 lit. f) rozporządzenia 2016/679, zgodnie z którą dane osobowe powinny być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych. W piśmie z dnia […] maja 2020 r. Prezes UODO zwrócił się do Uczelni o wskazanie działań, jakie administrator podjął w celu oceny przyczyn niewykrycia niepożądanych działań ingerujących w poufność danych, które miały miejsce w styczniu i kwietniu 2020 r.  W  wyjaśnieniach z […] czerwca 2020 r. Administrator wskazał, że „[s]cenariusz działania sprawcy wykroczył poza schemat przyjęty w ocenie ryzyka”. Mimo tak formułowanych tez, Administrator na żadnym etapie postępowania nie przedstawił żadnych dowodów mających uzasadnić adekwatność stosowanych zabezpieczeń do ryzyka. Opisał jedynie zabezpieczenia infrastruktury informatycznej, które w jego ocenie były najlepsze w stosunku do oczekiwań, doświadczeń i jego możliwości finansowych, a nie w kontekście ryzyk dla danych przetwarzanych w ramach procesu objętego naruszeniem. Bardzo interesującym fragmentem decyzji jest wskazanie jak mogło dojść do naruszenia ochrony danych osobowych: Jak sama Uczelnia wskazała, ww. środki okazały się nieskuteczne w przypadku zastosowanego złośliwego narzędzia (plik typu backdoor), które nieuprawnionej osobie umożliwiło uzyskanie dostępu do danych osobowych. Ponadto, w piśmie […]