Źle skonfigurowany elektroniczny system kancelaryjny: 12 tys. euro dla Miasta Metropolitalnego Sassari

Co się wydarzyło

Postępowanie rozpoczęło się z dwóch stron, które się spotkały: ze zgłoszenia naruszenia dokonanego przez sam podmiot oraz ze skargi osoby, której dane dotyczą. Postępowanie wykazało, że elektroniczny system kancelaryjny Miasta Metropolitalnego Sassari był skonfigurowany w taki sposób, że dokumenty zawierające dane osobowe były dostępne dla osób, które ze względu na zajmowane stanowisko i wykonywane zadania nie były upoważnione do ich przetwarzania.

Nie było włamania z zewnątrz ani ataku. Była konfiguracja: system pokazywał nieupoważnionym pracownikom dokumenty, które powinien był zastrzec. To najczęstsza kategoria naruszeń w sektorze publicznym i zarazem najrzadziej opisywana, ponieważ nie ma w niej nic spektakularnego.

Naruszone zasady

Organ stwierdził naruszenie zasad integralności i poufności, rozliczalności oraz ochrony danych w fazie projektowania i domyślnie. Ta ostatnia jest sednem sprawy: prywatność domyślnie oznacza, że początkowa konfiguracja systemu ma być najbardziej restrykcyjna, a nie najwygodniejsza. System, który startuje z pełną widocznością i jest ograniczany dopiero na wniosek, stanowi dokładne przeciwieństwo tej zasady.

Powołując się na własne wcześniejsze decyzje, organ przypomniał, że także przy przetwarzaniu prowadzonym za pomocą systemów zarządzania dokumentacją konieczne jest wdrożenie środków technicznych i organizacyjnych zapewniających selektywny dostęp do dokumentacji zgromadzonej w systemie, tak aby nieupoważniony personel nie mógł się z nią zapoznawać.

Dlaczego kara jest mimo wszystko niska i dlaczego nie jest to dobra wiadomość

Ustalając karę na 12 tys. euro, organ wziął pod uwagę między innymi trzy okoliczności: że od 2007 r. przekazuje pracodawcom publicznym i prywatnym wskazówki dotyczące prawidłowego przetwarzania danych w stosunku pracy; że naruszenie objęło wszystkie dane osobowe przechodzące przez system kancelaryjny; oraz że przetwarzanie dotyczyło także materiałów wrażliwych, istotnych dla celów dyscyplinarnych.

Warto odczytać je dosłownie: to okoliczności obciążające, nie łagodzące. Kara pozostaje umiarkowana z powodów związanych z charakterem podmiotu, ale stojące za nią rozumowanie jest surowe, a w sektorze prywatnym przy tym samym stanie faktycznym wynik finansowy byłby inny. Odwołanie do 2007 r. to elegancki sposób powiedzenia, że w tej materii nie zostały już żadne usprawiedliwienia interpretacyjne.

Wnioski dla zewnętrznego IOD

To kara, której zapobiegłaby godzina pracy i lista profili. Zdarza się mimo to dlatego, że nikt nie traktuje jej jako sprawy ochrony danych: system kancelaryjny uchodzi za temat sekretariatu, uprawnienia za temat informatyczny, a IOD pytany jest o klauzule informacyjne. Sposobem na przechwycenie tego ryzyka jest wpisanie przeglądu profili dostępu do systemów dokumentacyjnych do okresowych kontroli u klienta, z własnym terminem, tak jak rejestru czynności. To dokładnie ten rodzaj kontroli, który umyka, gdy terminy żyją w głowie konsultanta zamiast w kalendarzu.