NSA utrzymał 15 tys. zł kary dla mazowieckiego OHP po wycieku danych

Jeden skradziony laptop wystarczył, by sprawa trafiła przed dwa sądy administracyjne. Naczelny Sąd Administracyjny zakończył ją, podtrzymując karę nałożoną na mazowiecką komendę Ochotniczych Hufców Pracy. Sądy oceniły nie tylko sam incydent, lecz także to, czy administrator wcześniej przygotował się na utratę sprzętu i danych.

3 listopada 2026 r. NSA oddalił skargę kasacyjną komendanta wojewódzkiego OHP. Utrzymał tym samym wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 4 kwietnia 2024 r., który podtrzymał decyzję Prezesa Urzędu Ochrony Danych Osobowych o karze w wysokości 15 tys. zł.

Laptop skradziono podczas delegacji, a szyfrowanie wdrożono później

Służbowy komputer skradziono z samochodu osoby pełniącej funkcję kierowniczą w mazowieckim OHP. Do zdarzenia doszło podczas delegacji, poza obszarem, w którym zgodnie z wewnętrznymi procedurami miały być przetwarzane dane. Na laptopie znajdowały się informacje dotyczące trzech osób. Dane odzyskano z kopii zapasowych, ale osoba nieuprawniona mogła uzyskać do nich dostęp.

W toku postępowania UODO badał, czy administrator uwzględnił ryzyko kradzieży służbowego komputera. Przedstawiona analiza oceniała takie zagrożenie jako wysokie i nieakceptowalne, a następnie jako niskie i akceptowalne. Wśród zaleceń znalazło się wdrożenie narzędzia szyfrującego BitLocker. OHP uruchomiło je dopiero po kradzieży i nie wykazało, że wcześniej zastosowało się do rekomendacji.

Prezes UODO uznał, że administrator nie wdrożył odpowiednich zabezpieczeń technicznych i organizacyjnych ani regularnie nie sprawdzał ich skuteczności. Wniosek z tej sprawy jest konkretny: samo zapisanie zalecenia w procedurze nie chroni danych, jeśli zabezpieczenie nie działa przed incydentem.

Codziennie nowe informacje z Polski publikujemy na pl.news.

Sądy odrzuciły argumenty OHP dotyczące zabezpieczeń i kary

Komendant kwestionował ustalenia UODO. Wskazywał, że laptop miał unikalny login i hasło, a samochód był wyposażony w autoalarm. Podważał także wysokość kary i liczbę osób, których dane dotyczyły. Sądy nie uwzględniły tych argumentów.

WSA zwrócił uwagę, że to administrator, zawiadamiając o incydencie, wskazał trzy osoby. Nie znalazł też okoliczności łagodzących. Brak wcześniejszych naruszeń oraz powiadomienie osób, których dane dotyczyły, uznał za neutralne – są to obowiązki administratora, a nie szczególne powody do obniżenia kary. NSA podzielił tę ocenę i prawomocnie utrzymał decyzję o 15 tys. zł kary.

na podstawie: Urząd Ochrony Danych Osobowych.