Wszczęcie postępowania wobec SGGW

Skradziony laptop, na którym były dane kandydatów na studia w Szkole Głównej Gospodarstwa Wiejskiego, należał do pracownika uczelni. Wykorzystywał go do celów prywatnych, jak i służbowych – na laptopie przetwarzane były dane osobowe w związku z rekrutacją kandydatów na studia. To jednak nie wszystkie ustalenia poczynione w związku z kontrolą Prezesa UODO przeprowadzoną po naruszeniu, do którego doszło na SGGW.

Kontrola wykazała wyraźne dysfunkcje systemu ochrony danych na uczelni - zarówno od strony technicznej, jak i organizacyjnej. Stwierdzono naruszenie przepisów o ochronie danych osobowych odnoszących się do obowiązków ciążących na administratorze m.in. z art. 24 ust. 1 RODO w kontekście braku aktualizacji i przeglądów polityk bezpieczeństwa przyjętych na uczelni. W toku kontroli stwierdzono, że administrator nie poddawał należytym przeglądom procesu przetwarzania danych osobowych kandydatów na studia. W związku z tym nie posiadał dostatecznej wiedzy o ryzyku związanym z tym przetwarzaniem i nie podejmował właściwych działań wynikających m.in. z art. 25 ust. 1 czy 32 ust. 1 lit. b i d RODO. Działania kontrolne wykazały również uchybienia związane ze sposobem sprawowania funkcji inspektora ochrony danych, który m.in. nie wypełniał swoich zadań zgodnie z art. 39 ust. 2 RODO tj. z należytym uwzględnianiem ryzyka związanego z operacjami przetwarzania.

Celem postępowania administracyjnego jest przywrócenie u administratora stanu zgodnego z prawem. Kiedy dochodzi do naruszenia przepisów o ochronie danych osobowych, Prezes UODO reaguje odpowiednio do wagi konkretnego naruszenia, korzystając z licznych uprawnień, jakie mu przysługują na podstawie RODO. Dlatego Prezes UODO może skorzystać ze środków, jakie daje mu RODO. Mogą to być np. upomnienia, ostrzeżenia, nakazy dostosowania operacji przetwarzania do przepisów o ochronie danych osobowych. Prezes UODO może też nałożyć administracyjną karę pieniężną w zależności od oceny okoliczności konkretnej sprawy. Warto przypomnieć, że nałożenie administracyjnej kary pieniężnej lub wydanie ostrzeżenia nie wpływa na możliwość zastosowania przez Prezesa UODO innych uprawnień, czy też sankcji.