Instytucja szkoleniowa wymiaru sprawiedliwości: kopia bazy platformy e-learningowej trafiła do internetu

Naczelny Sąd Administracyjny, sygn. III OSK 1394/22. Decyzja z 12 czerwca 2025 r. W przeglądzie od 12 listopada 2026 r., aktualizacja: 12 listopada 2026 r.

Podmiot: Krajowa Szkoła Sądownictwa i Prokuratury
Branża: Urząd i jednostka publiczna
Rodzaj: Publikacja w sieci, Nieuprawniony dostęp do systemu
Status: Decyzja prawomocna (sprawdzony 12 listopada 2026 r.)

Co się stało

W lutym 2020 r. podczas testowej migracji do nowej platformy szkoleniowej powstała kopia bazy danych, która pozostała na serwerze dostępna dla osób nieuprawnionych, a Policja powiadomiła szkołę w kwietniu 2020 r. o pojawieniu się danych w internecie. Naruszenie objęło 50 283 osoby, m.in. sędziów, prokuratorów, asesorów i referendarzy, w zakresie imion i nazwisk, adresów e-mail, numerów telefonów, adresów IP i haseł w postaci niejawnej. Prezes UODO nałożył karę 100 000 zł, wskazując, że administrator nie zweryfikował bezpieczeństwa środowiska przed migracją i po niej ani usunięcia zbędnej kopii, a umowa powierzenia nie spełniała wymogów art. 28 ust. 3 RODO. WSA w Warszawie i NSA (wyrok z 12 czerwca 2025 r.) oddaliły skargi szkoły.

Skala

Liczba osób: 50 283
Dane: imię i nazwisko, adres e-mail, nazwa użytkownika, numer telefonu, jednostka i wydział, adres IP, hasło (w postaci niejawnej)

Rozstrzygnięcie

Kara pieniężna 100 000 zł
Umorzenie postępowania: W pozostałym zakresie postępowanie umorzono

Status decyzji

Decyzja prawomocna, stan sprawdzony 12 listopada 2026 r. Decyzja z 11.02.2021; WSA w Warszawie (II SA/Wa 1384/21, 26.01.2022) oddalił skargę, NSA wyrokiem z 12.06.2025 (III OSK 1394/22) oddalił skargę kasacyjną.

Czego według organu zabrakło

Weryfikacja bezpieczeństwa środowiska przetwarzania przed migracją i po jej zakończeniu
Sprawdzenie, czy kopia bazy danych po migracji została usunięta z serwera
Testowanie i ocena skuteczności środków bezpieczeństwa z uwzględnieniem ryzyka zmian w procesie przetwarzania
Umowa powierzenia zobowiązująca podmiot przetwarzający do działania na udokumentowane polecenie administratora i określająca kategorie osób i danych

Źródła

UODO: NSA oddalił skargę kasacyjną KSSiP w sprawie wycieku danych z platformy szkoleniowej (źródło pierwotne), stan na 12 listopada 2026 r.
Decyzja Prezesa UODO DKN.5130.2024.2020 (źródło pierwotne), stan na 12 listopada 2026 r.
Historia decyzji DKN.5130.2024.2020 (wyroki WSA i NSA) (źródło pierwotne), stan na 12 listopada 2026 r.

Więcej

Powiadomienia o nowych sprawach i ostrzeżeniach

Raz w tygodniu, tylko gdy pojawią się nowe sprawy w przeglądzie albo nowe ostrzeżenia o oszustwach „na dokument”: tytuł, jedno zdanie i link. Wypisanie jednym kliknięciem w każdym mailu.

Opis zawiera fakty ze źródeł wymienionych wyżej, bez ocen. Błąd w opisie albo zmiana statusu decyzji: napisz na kontakt@wyslijbezpiecznie.pl, poprawimy opis i datę aktualizacji. Przegląd ma charakter informacyjny i nie jest poradą prawną.