• admin@kibc
• 25 czerwca 2026
• Brak komentarzy

Jeśli prowadzisz biuro rachunkowe lub kancelarię podatkową ta wiadomość może cię zainteresować. Przetwarzasz dane dziesiątek, może setek klientów i ich pracowników – numery PESEL, rachunki bankowe, zarobki, dane z paszportów.?Jeśli tak, to ta sprawa, powinna być dla Ciebie lekturą obowiązkową. Prezentujemy kulisy jednej z ostatnich decyzji UODO.

Początek historii siega stycznia 2021 roku, kiedy to właściciel biura rachunkowego zgłosił do Urzędu Ochrony Danych Osobowych naruszenie. Nieuprawniona osoba uzyskała dostęp do służbowej skrzynki e-mail jednego z pracowników biura. Ze skrzynki zaczął być wysyłany spam, który zaalarmował dostawcę hostingu, który z kolei automatycznie zablokował konto.

Jak ustalono w toku postępowania, na skrzynce znajdowały się dane osobowe klientów kancelarii, ich pracowników i dzieci zgłaszanych do ubezpieczeń ZUS. Mowa o imionach, nazwiskach, imionach rodziców, datach urodzenia, numerach PESEL, rachunkach bankowych, adresach, zarobkach, seriach i numerach dowodów osobistych, danych z paszportów, świadectwach pracy czy formularzach PCC-3.

Administrator bronił się m.in. twierdzeniem, że nie potwierdzono faktycznego pobrania danych przez hakera, a specjalista IT po sprawdzeniu komputerów i haseł nie stwierdził nieprawidłowości. UODO był jednak innego zdania.

Jak uzasadnia, samo uzyskanie przez nieuprawnioną osobę dostępu do skrzynki już jest naruszeniem ochrony danych osobowych. Nie trzeba udowodnić, że ktoś skopiował dane. Wystarczy, że mógł to zrobić. Dostawca hostingu sam przyznał, że nie jest w stanie stwierdzić, czy i jak doszło do włamania. Administrator nie miał dostępu do logów. Specjalista IT wystawił zaświadczenie, które – jak zauważył organ – nie opisywało ani metod, ani zakresu przeprowadzonej weryfikacji. Innymi słowy, nie ma dowodu na brak naruszenia, a to nie to samo, co dowód na jego brak.

Prawdziwy problem – brak analizy ryzyka

Incydent ze skrzynką e-mail był dla UODO pretekstem do głębszego sprawdzenia, jak administrator w ogóle zarządzał bezpieczeństwem danych. Okazało się, że przed wystąpieniem incydentu firma nie przeprowadzała analizy ryzyka dla procesów przetwarzania danych osobowych, nie wdrożyła żadnych odrębnych regulacji dotyczących ochrony danych, jak również nie testowała, nie mierzyła i nie oceniała skuteczności stosowanych zabezpieczeń.

Jedyne, na co administrator mógł się powołać w zakresie testowania środków technicznych, to działania dostawcy hostingu. UODO wyjaśnił, że to za mało. Obowiązek regularnego testowania zabezpieczeń spoczywa na administratorze i jest jego własnym, autonomicznym obowiązkiem – nie można go scedować na podmiot przetwarzający.

Warto też zwrócić uwagę na pewien szczegół, który w praktyce umyka wielu administratorom – testowanie musi obejmować nie tylko środki techniczne, ale też organizacyjne – procedury, regulaminy, zasady przetwarzania. Tymczasem hosting testował wyłącznie technikę.

Na plus dla administratora danych przemawia fakt, że po ujawnieniu naruszenia zlecił on audyt infrastruktury IT, przeprowadził analizę ryzyka (w listopadzie 2022 r., niemal dwa lata po incydencie), wdrożył politykę bezpieczeństwa, procedurę haseł, politykę czystego biurka i ekranu, przeprowadził szkolenia. W lutym 2023 roku odbył się audyt wdrożonych procedur – i dopiero od tego momentu UODO uznał, że administrator prawidłowo realizuje obowiązek regularnego testowania.

Działania naprawcze wpłynęły na złagodzenie kary, ale nie uchroniły przed nią. UODO w decyzji nr DKN.5131.34.2023 zdecydował o nałożeniu kary pieniężnej w wysokości 11 594 zł.

Przy ustalaniu wysokości kary organ wziął pod uwagę zarówno podjęte działania naprawcze, jak i fakt, że naruszenie miało charakter nieumyślny i nie udało się potwierdzić realnych szkód po stronie osób, których dane przetwarzał administrator. Jednocześnie UODO podkreślił okoliczności obciążające takie jak: długi czas trwania naruszeń, szeroki zakres danych.
Ta decyzja UODO może być lekcją dla wielu podmiotów.

Po pierwsze – analiza ryzyka to nie formalność. To punkt startowy całego systemu bezpieczeństwa. Bez niej nie wiesz, jakich zabezpieczeń potrzebujesz – dobierasz je „na wyczucie”, co narazi Cię na zarzut działania arbitralnego. UODO i sądy administracyjne są w tej kwestii jednoznaczne – to organ nadzorczy nie ma obowiązku wskazywać Ci, jakie środki zastosować. Ty masz to wiedzieć – na podstawie analizy.

Po drugie hosting może mieć doskonałe zabezpieczenia, ale to nie zdejmuje z Ciebie obowiązku własnych działań. Jeśli powierzasz przetwarzanie danych podmiotowi zewnętrznemu, pamiętaj, że Wasze obowiązki są odrębne, nie zastępują się nawzajem.

Nie wystarczy wdrożyć zabezpieczenia. Trzeba sprawdzać, czy działają. I trzeba to zapisywać. Zasada rozliczalności oznacza, że to Ty musisz wykazać organowi nadzorczemu, że przestrzegasz przepisów – nie organ musi udowodnić, że ich nie przestrzegasz.

Wreszcie, skrzynka pocztowa w biurze rachunkowym to prawdziwa skarbnica wrażliwych danych. Traktuj ją tak, jak na to zasługuje: hasła, dwuskładnikowe uwierzytelnianie, ograniczanie dostępu, kontrola, co i jak jest tam przechowywane. Decyzja nr DKN.5131.34.2023 nie jest prawomocna.