Dwie jednostki publiczne: pracownik firmy IT zgubił nieszyfrowany pendrive z bazami kadrowo-płacowymi

Prezes UODO, sygn. DKN.5131.35.2021. Decyzja z 10 października 2024 r. W przeglądzie od 12 listopada 2026 r., aktualizacja: 12 listopada 2026 r.

Podmiot: Organ nie podaje nazwy podmiotu
Branża: Urząd i jednostka publiczna
Rodzaj: Zgubiony nośnik, Brak szyfrowania
Status: Decyzja prawomocna (sprawdzony 12 listopada 2026 r.)

Co się stało

Przy wdrażaniu nowego programu kadrowo-płacowego pracownik firmy wdrożeniowej otrzymał na służbowy, nieszyfrowany pendrive bazy danych pracowników dwóch jednostek sektora publicznego i po wykorzystaniu ich nie usunął. W styczniu 2021 r. zgubił nośnik, który znalazca na początku lutego odesłał jednej z jednostek. Na pendrivie były dane około tysiąca osób z jednej jednostki i 549 z drugiej, w tym numery PESEL, rachunki bankowe, wynagrodzenia i dane z orzeczeń medycyny pracy. Prezes UODO nałożył kary 15 tys. zł i 20 tys. zł na administratorów oraz 24 882,21 zł na podmiot przetwarzający.

Data zdarzenia według źródła: 14 stycznia 2021 r..

Skala

Liczba osób: 1549
Dane: imiona i nazwiska, imiona rodziców, daty urodzenia, numery PESEL, numery rachunków bankowych, adresy, dane o zarobkach, seria i numer dokumentu tożsamości, dane o zdrowiu (orzeczenia medycyny pracy)

Rozstrzygnięcie

Kara pieniężna 15 000 zł: Pierwszy administrator (jednostka publiczna)
Kara pieniężna 20 000 zł: Drugi administrator (jednostka publiczna)
Kara pieniężna 24 882,21 zł: Spółka wdrażająca system kadrowo-płacowy jako podmiot przetwarzający

Status decyzji

Decyzja prawomocna, stan sprawdzony 12 listopada 2026 r. Decyzja prawomocna od 16.11.2024 (historia decyzji).

Czego według organu zabrakło

Środki bezpieczeństwa dla przenośnych pamięci chroniące przed zapisaniem danych na niezabezpieczonym nośniku
Weryfikacja podmiotu przetwarzającego przed powierzeniem danych
Umowa powierzenia ze wszystkimi elementami wymaganymi przez art. 28 ust. 3 RODO (u jednego z administratorów)
Określenie w umowach sposobu przekazywania danych i zabezpieczenia nośników

Źródła

UODO: kary za zgubiony nieszyfrowany pendrive z danymi kadrowymi (DKN.5131.35.2021) (źródło pierwotne), stan na 12 listopada 2026 r.
UODO: historia decyzji DKN.5131.35.2021 (źródło pierwotne), stan na 12 listopada 2026 r.

Więcej

Powiadomienia o nowych sprawach i ostrzeżeniach

Raz w tygodniu, tylko gdy pojawią się nowe sprawy w przeglądzie albo nowe ostrzeżenia o oszustwach „na dokument”: tytuł, jedno zdanie i link. Wypisanie jednym kliknięciem w każdym mailu.

Opis zawiera fakty ze źródeł wymienionych wyżej, bez ocen. Błąd w opisie albo zmiana statusu decyzji: napisz na kontakt@wyslijbezpiecznie.pl, poprawimy opis i datę aktualizacji. Przegląd ma charakter informacyjny i nie jest poradą prawną.