Konsekwencje za wyciek danych pracowników pod znakiem zapytania

Nie milkną echa afery z wyciekiem danych tysiąca pracowników z dwóch kutnowskich instytucji, Miejskiego Ośrodka Sportu i Rekreacji oraz  Miejskiego Ośrodka Pomocy Społecznej. Są wyniki audytu Urzędu Miasta Kutna przeprowadzonego w maju w MOSiR. Sprawdzamy czy wyciągnięto konsekwencje wobec osób odpowiedzialnych za ten incydent.

Przypomnijmy, dane osobowe ponad tysiąca osób znalazły się w niepowołanych rękach. Okazało się, że w połowie stycznia zgubił je pracownik łódzkiej firmy informatycznej. Na nośniku były dane Miejskiego Ośrodka Sportu i Rekreacji i Miejskiego Ośrodka Pomocy Społecznej. Paweł Ślęzak, dyrektor MOSiR zgłosił incydent do prezesa Urzędu Ochrony Danych Osobowych w lutym tego roku.

Pendrive miał napis MOSiR, były na nim dwa foldery z nazwami kutnowskich instytucji i miejscem. Jak twierdził Paweł Ślęzak foldery były zaszyfrowane. Znalazła go mieszkanka Tychów na Śląsku i po sprawdzeniu telefonu do MOSiR w Kutnie, powiadomiła instytucje, że ktoś zgubił nośnik.  Wydała specjalne oświadczenie do akt sprawy w Urzędzie Ochrony Danych Osobowych. 

Firma z Łodzi miała podpisane z instytucjami umowy powierzenia danych osobowych. Incydent do UODO zgłosiły obie miejskiej placówki. Procedura trwa. Firmie, która obsługiwała kutnowski samorząd i podległe mu instytucje grozi kara. 

Sprawa wyszła na jaw kiedy pracownicy ośrodka sportu otrzymali listy z wyczerpującymi informacjami na temat zaginięcia nośnika z ich danymi.

W maju br. Piotr Ryś inspektor ochrony danych Urzędu Miasta Kutna przeprowadzał audyt w Miejskim Ośrodku Sportu i Rekreacji w Kutnie po wycieku tysięcy danych osobowych. W zakresie audytu znalazło się sprawdzenie środków technicznych, organizacyjnych, dokumentacji ochrony danych, sposobu realizowania obowiązków przez osoby upoważnione i odpowiedzialne za nadzór nad bezpieczeństwem informacji. 

Audytor z kutnowskiego magistratu podjął następujące czynności: przejrzał dokumentację, dokonał oględzin obszarów przetwarzania, uzyskał wyjaśnienia od osób upoważnionych i od osób odpowiedzialnych za nadzór nad bezpieczeństwem informacji, zweryfikował realizowanie zasad określonych w polityce bezpieczeństwa w zakresie danych osobowych w MOSiR.

Wyniki audytu

Piotr Ryś stwierdził, że regulacje w zakresie ochrony danych osobowych wdrożono zarządzeniem dyrektora MOSiR w Kutnie w 2018 roku. Inspektorem ochrony danych osobowych  jest pracownik Paweł Markiewicz. Stwierdzono, iż administrator powołując inspektora nie dopełnił obowiązku wynikającego z artykułu 10 ustawy o ochronie danych osobowych, nie powiadomił Prezesa Urzędu Ochrony Danych Osobowych o powołaniu IOD w terminie 14 dni od jego powołania.

Paweł Markiewicz wykonując swoje obowiązki prowadził szkolenia w zakresie zakresu ochrony danych z pracownikami przyjmowanymi do pracy, zapoznawał ich zapisami polityki bezpieczeństwa w zakresie danych osobowych, dowodem na te czynności są zaświadczenie podpisane przez pracownika o zaznajomieniu z zasadami ochrony danych osobowych a w szczególności obowiązku zachowania tajemnicy danych osobowych oraz sposobu ich zabezpieczenia.

Agnieszka Jaroszczak zastępca dyrektora MOSiR podpisała  29 grudnia 2020 umowę z Agema HR sp. z o.o na powierzenie i przetwarzanie danych, stwierdzono. że zgodnie z zapisem umowy podmiot ten mógł przetwarzać dane w celu realizacji umowy głównej, a kolejną umowę o powierzeniu danych osobowych zawarto po incydencie,  8 lutego 2021 roku.

W odniesieniu do incydentu z 14 stycznia 2021 r.  stwierdzono że dane osobowe przetwarzane przez MOSiR w programie AgemaHR udostępnił pracownikowi tej firmy w dniu 5 stycznia 2021 roku pracownik z MOSiR poprzez transmisję danych VPN na niezabezpieczony nośnik pamięci dostarczony przez pracownika firmy AgemaHR. Człowiek ten zatrudniony jest w MOSiR na podstawie umowy zlecenia. Jak ustalono przetwarzał on dane osobowe w MOSiR bez stosownego upoważnienia od 25 maja 2019 roku do 4 stycznia 2021 . Dopiero 4 stycznia 2021 dyrektor zawarł z nim umowę powierzenia danych osobowych,  mimo że osobie fizycznej zatrudnionej na innej podstawie niż umowa o pracę powinno być wydane upoważnienie do przetwarzania danych osobowych, a co za tym idzie osoba ta powinna być przeszkolona zakresu ochrony danych osobowych w MOSiR i zapoznana z wszelką dokumentacją w tym zakresie.

Dyrektor ośrodka sportu o zaistniałym incydencie powiedział informacje 3 lutego. Wdrożona została procedura zgłaszania naruszeń danych osobowych wynikająca z przepisów. Poinformował on listownie (około 9 tys. zł na usługi pocztowe) wszystkie osoby, których dane były utracone o ryzyku negatywnych skutków zaistniałego naruszenia. Zagubiony nośnik z danymi odzyskano 8 lutego tego roku.

Jak wynika z wyjaśnień inspektora ochrony danych Pawła Markiewicza nie został on poinformowany przez dyrektora o zatrudnieniu pracownika na umowę-zlecenie, dlatego też nie przeszkolił go z zakresu ochrony danych oraz sposobów ich zabezpieczenia, nie został on również zapoznany z polityką bezpieczeństwa w zakresie danych osobowych w MOSiR w Kutnie. Markiewicz dopiero po otrzymaniu informacji o incydencie zagubionym mieniem nośnika z danymi osobowymi z MOSiR w Kutnie przez pracownika firmy AgemaHR 16 marca przeszkolił pracownika i zapoznał go z polityką bezpieczeństwa.

Z kolei  wyjaśnił, że dane osobowe przetwarzane w zasobach płacowo-kadrowych przekazał pracownikowi firmy z Łodzi za zgodą i wiedzą zastępcy dyrektora MOSiR Agnieszki Jaroszczak.

Po przeanalizowaniu całości sprawy Piotr Ryś stwierdził, że zastępca dyrektora nie mając stosownej wiedzy o zabezpieczeniach i przesyle danych a także w jakim celu i z kim zawiera się umowę powierzenia danych nie powinna wyrażać zgody pracującemu na zlecenie mężczyźnie na przekazanie danych bez uprzedniej konsultacji tego z inspektorem ochrony danych Paweł Markiewicz. 

Stwierdził również że firma AgemaHR, z którą podpisaną umowę powierzenia danych o mniejszym zakresie danych niż przekazano, zobowiązała się do zabezpieczenia tych danych poprzez stosowne stosowanie odpowiednich środków technicznych i organizacyjnych zapewniających adekwatny stopień bezpieczeństwa odpowiadający ryzyku związanemu z przetwarzaniem danych. Gubiąc niezabezpieczony nośnik z danymi MOSiR firma nie wywiązała się z paragrafu 5 umowy powierzenia danych z 29 grudnia 2020.

Piotr Ryś konkluduje audyt  "Po ujawnieniu incydentu administrator dokonał wszelkich starań i czynności mających na celu minimalizację zagrożeń związanych z naruszeniem danych osobowych a wynikających z przepisów obowiązującego prawa.

Były pracownik MOSiRu zadał pytania dyrektorowi Miejskiego Ośrodka Sportu i Rekreacji w Kutnie czy wyciągnął jakiekolwiek konsekwencję służbowe wobec zastępcy dyrektora ds. administracyjno-finansowych (jeżeli tak to jakie), w związku ze stwierdzonymi w ww. zadaniach audytowych nieprawidłowościami. 

- Dyrektor MOSiR upomniał ustnie  Agnieszkę Jaroszczak zastępcę dyrektora do spraw administracyjno-finansowych wobec tego brak jest dokumentu potwierdzającego powyższe- odpowiada P. Ślęzak.

Wcześniej pisaliśmy o skardze na działania dyrektora Pawła Ślęzaka złożonej przez byłego pracownika. Po uznaniu jej za zasadną przez Radę Miasta Kutna, próbował on uzyskać informację od Zbigniewa Burzyńskiego prezydenta Kutna, jakie konsekwencje zostały wyciągnięte wobec dyrektora ośrodka. Skarga zasadna, stwierdzenie kilku nieprawidłowości w administrowaniu danymi osobowymi w miejskiej jednostce, ponadnormatywne wydatki z publicznych środków, na pewno mogą być podstawą konkretnego stanowiska prezydenta w tej sprawie.

Jak mówi nam mieszkaniec odmówiono mu udzielenia odpowiedzi w tej sprawie. Zatem pytamy publicznie prezydenta Kutna, w jaki sposób upomniał czy ukarał dyrektora MOSiR oraz jakie czynności kontrolne zostały podjęte w Miejskim Ośrodku Pomocy Społecznej w związku z wyciekiem danych jego byłych i obecnych pracowników.