Dostęp do danych SWPS

Do Prezesa UODO wpłynęło zgłoszenie wstępne od SWPS Uniwersytet Humanistycznospołeczny w sprawie naruszenia ochrony danych osobowych. Sprawa jest analizowana.

SWPS Uniwersytet Humanistycznospołeczny (SWPS) współpracuje ze szkołą wyższą Collegium Da Vinci w Poznaniu. Obie uczelnie wykorzystują w działalności budynek należący do Collegium Da Vinci. Szkoła ta jest jednocześnie administratorem sieci komputerowej w budynku. Jak zgłoszono, do zdarzenia doszło w wyniku uzyskania loginu i hasła administratora przez atakującego. Według dostępnych administratorowi na dzień zgłoszenia naruszenia informacji incydent polegał na ataku z wykorzystaniem oprogramowania typu ransomware.

Naruszenie dotyczy  studentów, słuchaczy studiów podyplomowych, pracowników oraz współpracowników. Administrator, w momencie przesyłania zgłoszenia o naruszeniu, nie poinformował osób, których dane dotyczą, o zaistniałej sytuacji.

UODO przygląda się sprawie w celu wyjaśnienia wszelkich jej okoliczności oraz ustalenia, czy przetwarzanie danych osobowych odbywało się zgodnie z przepisami RODO.

Warto przy tej okazji podkreślić, że do Prezesa UODO należy zgłaszać naruszenia, nie później niż w ciągu 72 godzin od jego stwierdzenia. Ma to miejsce w przypadku, w którym istnieje prawdopodobieństwo (wyższe niż małe) naruszenia praw i wolności osób, których dane dotyczą. Chodzi tu np. o sytuacje, w których zdarzenie może prowadzić do kradzieży tożsamości, straty finansowej czy też naruszenia tajemnic prawnie chronionych. Jeżeli natomiast istnieje wysokie ryzyko, że wystąpią niekorzystne skutki naruszenia dla osób, których dane dotyczą, wówczas RODO wymaga, aby oprócz organu ds. ochrony danych, administrator o sytuacji poinformował również te osoby.

Co robić, gdy naruszenie dotyczy moich danych?

Ataki hakerskie, czyli przełamywanie zabezpieczeń systemów informatycznych w których przetwarzane są dane osobowe czy wykorzystywanie istniejących podatności (luk) w tych systemach, - to sytuacje, w przypadku których osoby do tego nieuprawnione wchodzą (bądź mają taką możliwość) w posiadanie danych osobowych. Należy wtedy podjąć odpowiednie działania, aby ograniczać ewentualne negatywne konsekwencje.

Przede wszystkim należy zachować dużą ostrożność podczas podawania danych przez Internet. Dokładnie analizować  komunikaty od administratora, zawarte np. w  wiadomościach SMS, e-mail, by uniknąć np. ataku phishingowego, którego celem może być wyłudzenie dodatkowych danych.

Osoby, które padły lub mają podejrzenie, że mogły paść ofiarami kradzieży tożsamości powinny w pierwszej kolejności zgłaszać się na Policję. Prezes UODO, nie jest organem ścigania, nie ma uprawnień do prowadzenia postępowania zmierzającego do wykrycia sprawcy przestępstwa i oceny czy doszło do jego popełnienia, oraz do kwalifikacji czynu przestępczego i wymierzenia stosownej kary.

Więcej wskazówek UODO dotyczących zmniejszenia ryzyka kradzieży tożsamości dostępnych jest w materiałach:

• Co zrobić w przypadku kradzieży tożsamości? https://uodo.gov.pl/pl/138/1222
• Warto wiedzieć, jak minimalizować ryzyko kradzieży tożsamościhttps://uodo.gov.pl/pl/138/1267

2020-04-30