W decyzji Prezesa UODO dotyczącej nałożenia administracyjnej kary pieniężnej na jednego z Rzeczników Dyscyplinarnych Izby Adwokackiej odnajdujemy wiele istotnych informacji odnoszących się do procedur zabezpieczających dane osobowe na zewnętrznych nośnikach oraz do tego jak powinny być przeprowadzane szkolenia pracowników dotyczące ochrony danych osobowych. Z opublikowanej decyzji organu nadzorczego wynika, że w czerwcu 2021 r. Administrator zgłosił naruszenie ochrony danych osobowych polegające na zagubieniu pendrive zawierającego nagranie rozprawy rozwodowej. Pracownicy administratora zabezpieczyli przesyłkę zawierającą pamięć zewnętrzną poprzez: nośnik został umieszczony w plastikowej koszulce, która została szczelnie zaszyta, kilka osób dokonywało sprawdzenia szczelności tejże koszulki, koszulkę przyszyto do pisma przewodniego w sposób uniemożliwiający wypadnięcie nośnika bez przerwania ww. zabezpieczeń czy folii (plastikowa koszulka). Pismo wraz z koszulką umieszczono w kopercie, którą szczelnie zaklejono i nadano za pośrednictwem X. S.A.(…)”. Organ nadzorczy dokonał także ustaleń, z których wynika: jednoznacznie, że ani plik z danymi osobowymi, ani sam nośnik danych nie zostały w żaden sposób zabezpieczone, co skutkowało bardzo wysokim prawdopodobieństwem uzyskania dostępu do danych osobowych znajdujących się na tym nośniku przez osoby nieuprawnione w przypadku utracenia przesyłki Istotnym zagadnieniem jest też to, że: w piśmie z dnia (…) kwietnia 2022 r. Rzecznik Dyscyplinarny Izby Adwokackiej w X. wskazał, iż „(…)pendrive na którym znajdowało się nagranie i który został zagubiony był własnością obrońcy obwinionego w postępowaniu prowadzonym przed Rzecznikiem Dyscyplinarnym Izby Adwokackiej w X.(…)” W zakresie szkoleń decyzja Prezesa UODO wskazuje, że: prawidłowo przeprowadzone szkolenia pozwolą osobom szkolonym na właściwe zrozumienie zasad przetwarzania danych osobowych określonych przez Administratora, a w konsekwencji przyczyniają się do ograniczenia ryzyka wystąpienia naruszeń w tym obszarze. Podnieść również należy, że przeprowadzanie szkoleń z zakresu ochrony danych osobowych, aby mogło zostać uznane za adekwatny środek bezpieczeństwa, musi być realizowane w sposób cykliczny, co zapewni stałe przypominanie, a w konsekwencji utrwalenie, zasad przetwarzania danych osobowych objętych szkoleniem. ponadto, w takich szkoleniach muszą brać udział wszystkie osoby upoważnione do przetwarzania danych osobowych, a samo […]