Laboratorium 8

Głównym celem zadania jest nabycie przez studentów praktycznych umiejętności identyfikacji, analizy ryzyka oraz formalnego postępowania w przypadku naruszenia ochrony danych osobowych szczególnych kategorii (danych o stanie zdrowia w myśl art. 9 RODO) w podmiocie leczniczym. Studenci badają incydent zagubienia przez lekarza dyżurnego niezaszyfrowanego nośnika USB (pendrive) zawierającego historię chorób, diagnozy onkologiczne oraz numery PESEL 420 pacjentów. Zadanie obejmuje przeprowadzenie analizy ryzyka naruszenia praw lub wolności osób fizycznych w oparciu o wytyczne Europejskiej Rady Ochrony Danych (EROD/EDPB), weryfikację przesłanek zgłoszenia incydentu do Prezesa Urzędu Ochrony Danych Osobowych (UODO) po uzyskaniu świadomości o naruszeniu, w terminie 72 godzin, jeżeli ryzyko naruszenia praw lub wolności jest prawdopodobne (art. 33 ust. 1 RODO), ocenę konieczności zawiadomienia pacjentów (art. 34 RODO), wpis do wewnętrznego rejestru naruszeń (art. 33 ust. 5 RODO) oraz zaprojektowanie technicznych i organizacyjnych środków zaradczych (centralna blokada portów USB, szyfrowanie nośników (np. BitLocker/VeraCrypt) oraz szkolenia personelu medycznego).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i klasyfikacja niezgodności krytycznej (NC1) w zakresie braku wdrożenia adekwatnych środków technicznych ochrony danych (art. 32 RODO) oraz kontroli normy ISO/IEC 27001 (A.8.10 Usuwanie danych, A.8.24 Krypto-zabezpieczenia).
• U1 Opracowanie projektu procedury bezpiecznego korzystania z nośników wymiennych oraz planu działań korygujących po incydencie bezpieczeństwa danych.
• U3 Zastosowanie metodyki oceny wagi naruszenia i ryzyka dla praw pacjentów (stygmatyzacja społeczna, dyskryminacja ubezpieczeniowa, kradzież tożsamości) determinującej ocenę przesłanek notyfikacji organu nadzorczego i podmiotów danych.
• U4 Sporządzenie projektu zgłoszenia naruszenia ochrony danych do UODO oraz projektu komunikatu do pacjentów, z uwzględnieniem przesłanek art. 33 i art. 34 RODO oraz opracowanie pisemnego referatu seminaryjnego.
• W1 Znajomość zasad legalności przetwarzania danych szczególnych kategorii (art. 9 RODO), obowiązków administratora danych medycznych oraz praw pacjenta wynikających z Ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.
• W2W3 Zrozumienie wytycznych EROD dotyczących zgłaszania naruszeń, powiązań RODO z normą PN-EN ISO/IEC 27001:2022 oraz regulacjami Krajowych Ram Interoperacyjności (KRI).
• K1K2K3 Rozwijanie wrażliwości etycznej na poufność tajemnicy lekarskiej, odpowiedzialności za bezpieczeństwo danych wrażliwych oraz kultury bezstronnego audytu.
• Powiązanie z wykładem: Wyk1 (Rola audytu w ochronie danych wrażliwych), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole dostępowe i krypto ISO 27001), Wyk4 (RODO i KRI w ochronie zdrowia), Wyk5 (Szacowanie ryzyka dla praw i wolności ISO 27005/EROD), Wyk7 (Klasyfikacja niezgodności, raportowanie incydentów i rejestr naruszeń).

Szpital Powiatowy w Puławach (SPZOZ) zatrudnia 450 pracowników i rocznie hospitalizuje ponad 15 000 pacjentów. Na Oddziale Onkologii Klinicznej lekarz dyżurny, przygotowując prezentację na sympozjum naukowe oraz dokończenie opisów przypadków w domu, skopiował z oddziałowego systemu szpitalnego (HIS) na prywatny pendrive zestawienie 420 pacjentów leczonych w latach 2023-2024.

Stan faktyczny w obszarze incydentu i stanu zabezpieczeń:

• Zestawienie miało postać niezaszyfrowanego pliku arkusza kalkulacyjnego 'onkologia_baza_2024.xlsx' i zawierało: imię, nazwisko, numer PESEL, dokładny adres zamieszkania, numer telefonu komórkowego, rozpoznanie histopatologiczne (kod ICD-10), stadium zaawansowania nowotworu (TNM), zastosowany schemat chemioterapii oraz rokowanie kliniczne.
• Pendrive nie posiadał żadnego zabezpieczenia hasłem ani sprzętowego/programowego szyfrowania danych (brak BitLocker, brak VeraCrypt).
• W trakcie powrotu ze szpitala do domu lekarz zgubił nośnik pamięci na przystanku autobusowym lub w pojeździe komunikacji miejskiej. O fakcie zagubienia pendrive'a lekarz zorientował się w piątek o godzinie 19:30, lecz z obawy przed konsekwencjami dyscyplinarnymi poinformował Inspektora Ochrony Danych (IOD) dopiero w poniedziałek rano o godzinie 08:15 (po upływie ponad 60 godzin od zdarzenia).
• Inspekcja stacji roboczych na oddziale szpitalnym wykazała, że porty USB w komputerach lekarskich i pielęgniarskich nie posiadają żadnych blokad technicznych (brak polityk GPO ograniczających nośniki wymienne), a system antywirusowy nie monitoruje kopiowania wolumenów danych (brak agenta DLP - Data Loss Prevention).
• Polityka ochrony danych szpitala zabraniała wynoszenia danych poza teren placówki bez zgody Dyrekcji, jednak personel medyczny nie był w tym zakresie weryfikowany ani cyklicznie szkolony (ostatnie szkolenie przeprowadzono 3 lata wcześniej).

Dyrekcja SPZOZ powołuje doraźny zespół audytorsko-kryzysowy w celu zbadania incydentu, sporządzenia oceny ryzyka, zrealizowania obowiązków wobec Prezesa UODO oraz zaprojektowania szczelnych procedur bezpieczeństwa.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Koordynator Zespołu ds. Audytu RODO - przeprowadza wywiad z personelem medycznym i ordynatorem oddziału, bada procedury organizacyjne szpitala, weryfikuje przepływ informacji o incydencie pod kątem przekroczenia limitu 72 godzin i koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny i Bezpieczeństwa Systemów IT - bada stan konfiguracji stacji roboczych HIS, analizuje brak technicznych blokad portów USB w środowisku Windows Active Directory, projektuje wdrożenie centralnego szyfrowania nośników wymiennych oraz weryfikuje logi systemowe stacji lekarskiej.
• Rola 3: Audytor Zgodności Prawnej i Analizy Ryzyka (Asystent IOD) - przeprowadza kwalifikację prawną naruszenia w oparciu o art. 9 i art. 32 RODO, sporządza kartę oceny ryzyka dla praw pacjentów według metodyki EROD, przygotowuje projekt zgłoszenia do Prezesa UODO (art. 33) oraz, jeżeli zachodzą przesłanki art. 34, projekt zawiadomienia osób poszkodowanych. W zespole 2-osobowym obowiązki te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na zbadaniu stanu faktycznego incydentu, ocenie wagi naruszenia danych medycznych oraz sformułowaniu zaleceń inżynierskich i proceduralnych:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Przegląda regulamin organizacyjny szpitala, upoważnienia do przetwarzania danych personelu onkologii, bada chronologię zdarzenia (od momentu utraty nośnika do zawiadomienia IOD) i określa przyczyny opóźnienia w reakcji.

  Student 2 (Audytor Techniczny IT): Analizuje możliwości technologiczne zablokowania portów USB w Active Directory za pomocą zasad grupy (GPO) lub dopuszczenia wyłącznie autoryzowanych, sprzętowo szyfrowanych pamięci flash (FIPS 140-2) z wymuszeniem szyfrowania BitLocker to Go.

  Student 3 (Audytor Zgodności / Prawny): Dokonuje analizy ryzyka dla praw i wolności 420 pacjentów. Ponieważ dane dotyczą zdrowia, diagnoz onkologicznych i PESEL, ryzyko należy ocenić z uwzględnieniem wagi danych, liczby osób i możliwych skutków; przy wysokim ryzyku należy rozważyć notyfikację Prezesa UODO, a zawiadomienie pacjentów przeprowadzić, jeżeli spełnione są przesłanki art. 34 RODO.

• Krok 2 (Triangulacja dowodów audytowych):

  Zestawcie oświadczenie pisemne lekarza, wpisy w logach stacji roboczej oddziału potwierdzające eksport pliku arkusza kalkulacyjnego z systemu HIS, kopię obowiązującej Polityki Ochrony Danych oraz brak wpisów w szpitalnym rejestrze naruszeń. Wykażcie lukę kontrolną między procedurą na papierze a rzeczywistą konfiguracją systemu IT.

• Krok 3 (Kwalifikacja naruszenia i ocena ryzyka):

  Sformułujcie kartę niezgodności krytycznej (NC1) z art. 32 ust. 1 lit. a RODO (brak pseudonimizacji i szyfrowania) oraz art. 24 ust. 1 RODO. Opracujcie wpis do wewnętrznego rejestru naruszeń szpitala (art. 33 ust. 5 RODO) zawierający: opis faktów, skutki oraz podjęte działania zaradcze.

• Krok 4 (Opracowanie koncepcji rozwiązania problemu):

  Zaprojektujcie trójpoziomowy system ochrony przed wyciekiem danych:

  1. Poziom techniczny: wdrożenie GPO blokującego zapis na nośnikach pamięci masowej USB (Storage Device Policies), wdrożenie obowiązkowego szyfrowania BitLocker To Go z kluczem zarządzanym w domenie oraz instalacja oprogramowania antywirusowego z modułem Device Control.

  2. Poziom organizacyjny: zakaz kopiowania danych osobowych pacjentów w celach prywatnych lub dydaktycznych; przetwarzanie danych w tych celach wymaga odrębnej podstawy prawnej, a anonimizacja powinna być pełna i nieodwracalna (usunięcie imion, nazwisk, PESEL, adresu i identyfikatorów bezpośrednich).

  3. Poziom proceduralny: uruchomienie całodobowego kanału zgłaszania incydentów bezpieczeństwa do IOD (dedykowany numer telefonu i adres e-mail) oraz cykliczne szkolenia personelu medycznego z zakresu procedury postępowania z incydentami.

• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Skompletujcie projekt zgłoszenia naruszenia do UODO oraz, jeżeli zachodzą przesłanki art. 34 RODO, projekt pisma powiadamiającego pacjenta o możliwości kradzieży tożsamości i zalecanych działaniach ochronnych (np. zastrzeżenie numeru PESEL w aplikacji mObywatel/rejestrze zastrzeżeń) oraz zestawienie wad i zalet proponowanych rozwiązań.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie i zarys incydentu w Szpitalu Powiatowym w Puławach (2 min): Charakter jednostki, kategoria utraconych danych i chronologia ujawnienia zdarzenia (Student 1).
• Analiza techniczna podatności stacji roboczych i nośników USB (3 min): Brak blokad portów, brak szyfrowania BitLocker, swoboda eksportu danych z systemu HIS i demonstracja technicznych rozwiązań blokady nośników (Student 2).
• Prawna kwalifikacja naruszenia i analiza ryzyka według wytycznych EROD (4 min): Ocena wagi danych art. 9 RODO, uzasadnienie wysokiego ryzyka dla pacjentów, ocenę przesłanek zgłoszenia do UODO w terminie 72 godzin oraz potrzebę zawiadomienia pacjentów, jeżeli zachodzi wysokie ryzyko z art. 34 RODO (Student 3 lub Student 1).
• Wzorcowy plan działań naprawczych oraz analiza wad i zalet (3 min): Omówienie polityk GPO, narzędzi DLP, procedur anonimizacji danych naukowych oraz bilansu kosztów i wygody pracy lekarzy (Student 2 i Student 3).
• Wnioski końcowe i odpowiedzi na pytania sali (2 min): Dyskusja z prowadzącym i słuchaczami (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Dlaczego dane o stanie zdrowia (art. 9 RODO) podlegają podwyższonemu reżimowi ochronnemu i jak ich utrata wpływa na kwalifikację ryzyka dla praw lub wolności osób fizycznych w świetle Wytycznych EROD 9/2022?
• Od jakiego momentu rozpoczyna się bieg 72-godzinnego terminu na zgłoszenie naruszenia do organu nadzorczego (art. 33 ust. 1 RODO) w sytuacji, gdy pracownik zwlekał z powiadomieniem IOD?
• Jakie konkretne informacje administrator ma obowiązek przekazać pacjentowi w zawiadomieniu o naruszeniu (art. 34 ust. 2 RODO), aby umożliwić mu zabezpieczenie się przed negatywnymi skutkami wycieku numeru PESEL?

2. Opis stanu faktycznego, charakterystyka utraconych zasobów informacyjnych i przebieg postępowania wyjaśniającego w SPZOZ.

3. Karta niezgodności audytowej z normą ISO/IEC 27001 (kontrole A.8.10, A.8.24) oraz art. 9, art. 32 i art. 33 RODO wraz z projektem wpisu do szpitalnego rejestru naruszeń.

4. Szczegółowe rozwiązanie problemu:

• Procedura techniczna blokady niezaufanych pamięci USB za pomocą Active Directory Group Policy.
• Wymogi organizacyjne dotyczące bezpiecznego wykorzystania danych medycznych do celów naukowych i dydaktycznych (procedura anonimizacji).
• Projekt zawiadomienia do Prezesa UODO oraz, jeżeli zachodzą przesłanki art. 34, projekt indywidualnego komunikatu do pacjentów z zaleceniem zastrzeżenia PESEL.

5. Analiza zalet i wad wybranego rozwiązania:

• Zalety: znaczące ograniczenie ryzyka wynoszenia nieszyfrowanych danych na nośnikach fizycznych oraz zmniejszenie ryzyka naruszeń i związanych z nimi konsekwencji, wzrost świadomości personelu, transparentność wobec pacjentów.
• Wady/wyzwania: spadek elastyczności pracy lekarzy, konieczność zakupu certyfikowanych pamięci szyfrowanych, koszty wysyłki listów poleconych do 420 pacjentów, ryzyko utraty reputacji placówki w społeczności lokalnej.

6. Bibliografia, netografia i odnośniki do aktów prawnych (RODO, Ustawa o prawach pacjenta, Wytyczne EROD, normy ISO).

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 4 pkt 12 (Definicja naruszenia), art. 9 (Szczególne kategorie danych), art. 32 (Bezpieczeństwo przetwarzania), art. 33 (Zgłaszanie naruszeń do organu nadzorczego), art. 34 (Zawiadamianie osoby, której dane dotyczą), art. 33 ust. 5 (Rejestr naruszeń).
• Europejska Rada Ochrony Danych (EROD/EDPB): "Wytyczne 9/2022 w sprawie zgłaszania naruszeń ochrony danych na mocy rozporządzenia 2016/679", wersja 2.0, Bruksela 2023.
• Urząd Ochrony Danych Osobowych (UODO): "Obowiązki administratorów związane z naruszeniami ochrony danych osobowych - poradnik praktyczny", Warszawa 2021.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.24 (Planowanie i przygotowanie zarządzania incydentami bezpieczeństwa informacji), A.5.25 (Ocena i podejmowanie decyzji w sprawie zdarzeń), A.8.10 (Usuwanie danych), A.8.24 (Krypto-zabezpieczenia).
• Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2022 r. poz. 1876 z późn. zm.).
• Ustawa z dnia 7 lipca 2023 r. o zmianie niektórych ustaw w związku z ograniczaniem niektórych skutków kradzieży tożsamości (Dz.U. z 2023 r. poz. 1394) - instytucja zastrzeżenia numeru PESEL.

• U2 Identyfikacja naruszenia ochrony danych medycznych i kwalifikacja ryzyka.
• U1 Opracowanie procedury bezpiecznego korzystania z wymiennych nośników pamięci.
• U3 Szacowanie skutków wycieku danych szczególnych kategorii i uzasadnienie zgłoszenia do UODO.
• U4 Sporządzenie projektu zgłoszenia naruszenia do UODO, z uwzględnieniem przesłanek art. 33, i referat seminaryjny.
• W1W2W3 Znajomość przepisów RODO (art. 9, 32, 33, 34), wytycznych EROD i normy ISO 27001.
• K1K2K3 Wrażliwość na poszanowanie tajemnicy lekarskiej i etyczna postawa audytora.

W trakcie wystąpienia seminaryjnego przedstawcie schemat decyzyjny (drzewo decyzyjne EROD): kiedy naruszenie ochrony danych wymaga jedynie wpisu do rejestru wewnętrznego, kiedy powiadomienia organu nadzorczego w terminie 72 godzin od uzyskania świadomości o naruszeniu, jeżeli zachodzą przesłanki art. 33 ust. 1 RODO, a kiedy dodatkowo imiennego zawiadomienia osób fizycznych.

Celem zadania jest opanowanie przez studentów umiejętności badania incydentów naruszenia poufności danych osobowych wywołanych błędami operacyjnymi personelu w komunikacji elektronicznej (naruszenie zasady poufności z art. 5 ust. 1 lit. f RODO). Studenci analizują studium przypadku ogólnopolskiego sklepu internetowego, w którym pracownik działu obsługi klienta wysłał powiadomienie o zmianie regulaminu oraz statusie realizacji przedświątecznych zamówień do grupy 1 850 klientów, umieszczając wszystkie adresy odbiorców w jawnym polu DW (Do wiadomości) zamiast w polu UDW (Ukryte do wiadomości). W rezultacie każdy odbiorca poznał imiona, nazwiska i prywatne adresy e-mail pozostałych klientów, co stworzyło bezpośrednie ryzyko ataków socjotechnicznych (phishing, spear phishing). Zadanie wymaga oceny wagi naruszenia, weryfikacji adekwatności środków technicznych zapobiegających błędom ludzkim (art. 32 RODO), przeprowadzenia procedury zgłoszeniowej oraz zaprojektowania automatycznego systemu wysyłki korespondencji transakcyjnej zintegrowanego z platformą sklepową.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja niezgodności (NC2/NC1) w zakresie braku mechanizmów technicznych wymuszających separację danych odbiorców w komunikacji masowej oraz naruszenia zasady integralności i poufności (art. 5 ust. 1 lit. f RODO).
• U1 Opracowanie zaleceń inżynierskich wdrożenia dedykowanych bramek SMTP/API mailingowych eliminujących konieczność ręcznej wysyłki z programów pocztowych (np. Mozilla Thunderbird, MS Outlook).
• U3 Przeprowadzenie analizy ryzyka eksploatacji ujawnionych adresów e-mail do dystrybucji złośliwego oprogramowania i fałszywych wezwań do dopłaty za przesyłkę.
• U4 Opracowanie zwięzłego raportu poaudytowego z analizą prawną obowiązku notyfikacji UODO i klientów oraz prezentacja koncepcji przed grupą.
• W1 Znajomość zasad odpowiedzialności administratora (art. 24 RODO) oraz orzecznictwa Prezesa UODO w sprawach kar nakładanych za błędy typu DW/UDW.
• W2W3 Zrozumienie wytycznych EROD w sprawie naruszeń w sektorze handlu elektronicznego oraz normy PN-EN ISO/IEC 27001:2022 (kontrola A.8.12 Zapobieganie wyciekowi danych).
• K1K2K3 Zrozumienie wagi tzw. drobnych błędów operacyjnych i ich masowego wpływu na prywatność konsumentów w sieci internetowej.
• Powiązanie z wykładem: Wyk1 (Audyt w e-commerce), Wyk3 (Kontrole ISO 27001 A.8.12), Wyk4 (RODO i odpowiedzialność administratora), Wyk5 (Ocena ryzyka phishingu i nadużyć tożsamości), Wyk7 (Kwalifikacja incydentów i zalecenia naprawcze).

ElektroHit Sp. z o.o. to dynamicznie rozwijający się sklep internetowy oferujący sprzęt RTV i komputery, obsługujący bazę ponad 120 000 zarejestrowanych klientów. W okresie gorączki przedświątecznej dział logistyki odnotował opóźnienia w dostawach zamówień realizowanych przez jedną z firm kurierskich.

Stan faktyczny w obszarze wysyłki korespondencji i zabezpieczeń:

• Młodszy specjalista ds. obsługi klienta otrzymał od kierownika polecenie pilnego rozesłania komunikatu przepraszającego wraz z bonem rabatowym o wartości 50 zł do grupy 1 850 klientów oczekujących na dostawę przesyłek.
• Pracownik wyeksportował listę adresów e-mail klientów z bazy zamówień sklepu do pliku tekstowego, a następnie wkleił całą listę odbiorców (1 850 adresów) bezpośrednio w pole 'DW' (kopia jawna) w standardowym kliencie pocztowym Microsoft Outlook.
• Po kliknięciu przycisku 'Wyślij' serwer pocztowy zrealizował wysyłkę. W ciągu kilkunastu minut do firmy zaczęły napływać oburzone wiadomości od klientów z zarzutem ujawnienia ich danych tysiącom obcych osób.
• Niektórzy odbiorcy użyli funkcji 'Odpowiedz wszystkim' (Reply All), rozpoczynając publiczną kłótnię na liście mailingowej, wyrażając frustrację z powodu opóźnień paczek i grożąc skargami do Prezesa UODO oraz Urzędu Ochrony Konkurencji i Konsumentów (UOKiK).
• Wśród ujawnionych adresów e-mail znaczna część miała format imienny (np. jan.kowalski@firma.pl lub anna.nowakowska@poczta.onet.pl), co jednoznacznie pozwoliło zidentyfikować tożsamość konsumentów oraz fakt dokonywania zakupów wartościowej elektroniki.
• Analiza wykazała, że sklep nie posiadał żadnego oprogramowania klasy Enterprise Marketing Automation / Transakcyjnego API pocztowego (np. SendGrid, MailerLite, Amazon SES) ani nie zablokował w programie Outlook możliwości wysyłania wiadomości do więcej niż 10 odbiorców zewnętrznych w polu DW.
• Zarząd spółki wzywa audytorów do oceny konsekwencji incydentu, zbadania czy zachodzi konieczność powiadomienia Prezesa UODO oraz wskazania rozwiązań technicznych zapobiegających takim pomyłkom.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Governance E-Commerce - weryfikuje procedury komunikacji marketingowej i transakcyjnej w spółce, regulamin pracy działu obsługi klienta oraz koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny i Architektury Pocztowej - analizuje konfigurację serwera pocztowego Exchange/Postfix, bada reguły transportowe zapobiegające masowej wysyłce w polach DO/DW oraz projektuje wdrożenie zautomatyzowanej bramki API transakcyjnego z indywidualnym generowaniem wiadomości.
• Rola 3: Audytor Zgodności Regulacyjnej i Praw Klienta - przeprowadza analizę ryzyka naruszenia praw 1 850 osób, bada orzecznictwo Prezesa UODO w sprawach błędów UDW, sporządza projekt zgłoszenia naruszenia oraz, jeżeli zachodzą przesłanki art. 34, projekt komunikatu sprostowującego do poszkodowanych klientów. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na wszechstronnej analizie incydentu masowej korespondencji, ocenie skutków prawnych i opracowaniu szczelnego systemu komunikacji transakcyjnej:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada okoliczności operacyjne incydentu, brak nadzoru nad pracownikiem, weryfikuje treść wysłanej wiadomości oraz ocenia ryzyko wizerunkowe i roszczeń cywilnoprawnych konsumentów.

  Student 2 (Audytor Techniczny IT): Analizuje architekturę wysyłki wiadomości e-mail. Wskazuje, że standardowy program pocztowy MUA nie powinien być używany do wysyłek masowych. Opracowuje konfigurację reguły transportowej w serwerze pocztowym blokującej wysyłkę e-maili zawierających więcej niż 1 adresata zewnętrznego w polu DW/DO bez autoryzacji administratora.

  Student 3 (Audytor Prawny / Compliance): Dokonuje oceny ryzyka według metodyki EROD i UODO: czy ujawnienie adresów e-mail wraz z faktem zakupu rodzi ryzyko naruszenia praw lub wolności? (ryzyko phishingu i spamu - wymaga oceny w związku z wagą danych, liczbą odbiorców i możliwymi skutkami). Przygotowuje projekt zgłoszenia do UODO w terminie 72 godzin od uzyskania świadomości o naruszeniu, jeżeli zachodzą przesłanki art. 33 ust. 1 RODO, oraz projekt komunikatu do klientów; wysłanie komunikatu wymaga odrębnej oceny przesłanek art. 34 RODO.

• Krok 2 (Triangulacja dowodów audytowych):

  Porównajcie treść nagłówków wiadomości e-mail (pole 'Cc:'), logi serwera pocztowego potwierdzające liczbę wysłanych kopii oraz brak procedury wysyłki korespondencji masowej w dokumentacji bezpieczeństwa spółki.

• Krok 3 (Kwalifikacja naruszenia i niezgodności):

  Sformułujcie kartę niezgodności z art. 5 ust. 1 lit. f RODO (naruszenie zasady poufności), art. 24 RODO (brak wdrożenia odpowiednich środków organizacyjnych) oraz art. 32 RODO (brak technicznych zabezpieczeń przed błędem ludzkim).

• Krok 4 (Opracowanie koncepcji rozwiązania problemu):

  Zaprojektujcie kompleksowe środki zaradcze:

  1. Środki techniczne: zakaz wysyłania korespondencji seryjnej z poziomu klientów pocztowych pracowników w ramach polityki komunikacji; wdrożenie dedykowanego systemu transakcyjnego połączonego z bazą sklepu poprzez API, w którym każdy e-mail jest generowany i wysyłany jako osobna sesja SMTP do pojedynczego odbiorcy (mail.to).

  2. Środki konfiguracyjne serwera pocztowego: wdrożenie w regułach pocztowych (np. Exchange Transport Rules / Postfix Header Checks) blokady wysyłania wiadomości z zewnętrznymi odbiorcami w polu DW przekraczającymi zdefiniowany limit (np. max 5 odbiorców).

  3. Środki organizacyjne: opracowanie i wdrożenie procedury 'Bezpieczna komunikacja z klientami' oraz przeprowadzenie natychmiastowego instruktażu dla personelu obsługi klienta.

• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Przedstawcie wnioski z audytu, porównajcie koszty wdrożenia profesjonalnego serwisu wysyłkowego z wysokością potencjalnych kar nakładanych przez UODO za recydywę naruszeń i przygotujcie referat do obrony.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Omówienie badanego przypadku w sklepie ElektroHit Sp. z o.o. (2 min): Tło incydentu, presja czasu w e-commerce i mechanizm popełnienia błędu DW zamiast UDW (Student 1).
• Analiza techniczna podatności komunikacji pocztowej i architektury wysyłki (4 min): Ograniczenia standardowych klientów MUA, brak reguł transportowych i prezentacja architektury zautomatyzowanego API mailingowego (Student 2).
• Analiza prawna w świetle RODO i orzecznictwa Prezesa UODO (3 min): Kwalifikacja adresu e-mail jako danej osobowej, ocena ryzyka ataków socjotechnicznych, decyzja o notyfikacji UODO na podstawie art. 33 RODO i zawiadomieniu klientów, jeżeli spełnione są przesłanki art. 34 RODO (Student 3 lub Student 1).
• Koncepcja naprawcza i analiza wad oraz zalet proponowanych rozwiązań (3 min): Przedstawienie procedur, konfiguracji reguł pocztowych i kalkulacji nakładów (Student 2 i Student 3).
• Podsumowanie, rekomendacje dla branży handlu elektronicznego i dyskusja (2 min): Odpowiedzi na pytania audytorów z sali (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• W jakich okolicznościach sam adres poczty elektronicznej (np. marek.adamski@wp.pl lub biuro@adamski-transport.pl) stanowi daną osobową w rozumieniu art. 4 pkt 1 RODO?
• Jakie zagrożenia dla osób fizycznych rodzi ujawnienie ich adresów e-mail w kontekście zakupów w sklepie z elektroniką (analiza ryzyka phishingu i socjotechniki)?
• Jakie sankcje finansowe i organizacyjne nakładał Prezes UODO na polskie przedsiębiorstwa za błędy związane z brakiem ukrycia adresatów w wysyłkach masowych (przykłady decyzji UODO)?

2. Opis przebiegu incydentu, wolumenu ujawnionych rekordów i reakcji działu obsługi klienta.

3. Karta niezgodności audytowej z art. 5 ust. 1 lit. f, art. 24 i art. 32 RODO wraz z wpisem do rejestru naruszeń administratora.

4. Szczegółowe rozwiązanie problemu:

• Architektura integracji sklepu z bezpieczną platformą transakcyjnego wysyłania e-maili przez API.
• Reguła transportowa serwera pocztowego blokująca masowe dodawanie adresatów w polu DW.
• Projekt zawiadomienia do Prezesa UODO oraz, jeżeli zachodzą przesłanki art. 34, projekt komunikatu do klientów z przeprosinami i wytycznymi bezpieczeństwa.

5. Analiza zalet i wad wybranego rozwiązania:

• Zalety: automatyzacja i personalizacja wiadomości, znaczące ograniczenie ryzyka ujawnienia danych współodbiorców, wyższa dostarczalność wiadomości (brak trafiania do spamu), zgodność z RODO.
• Wady/wyzwania: miesięczny koszt abonamentowy zewnętrznej bramki mailingowej, konieczność integracji programistycznej z silnikiem sklepu, czas potrzebny na wdrożenie.

6. Bibliografia, netografia i odnośniki do decyzji Prezesa UODO i standardów bezpieczeństwa poczty.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 ust. 1 lit. f (Poufność danych), art. 24 (Odpowiedzialność administratora), art. 32 (Bezpieczeństwo przetwarzania), art. 33 (Zgłoszenie do UODO).
• Decyzje Prezesa Urzędu Ochrony Danych Osobowych w sprawach naruszenia poufności danych poprzez wysyłkę korespondencji z jawnymi adresami odbiorców (m.in. decyzje DKN.5101.33.2021 oraz ZSPU.421.2.2019).
• Europejska Rada Ochrony Danych (EROD): "Wytyczne 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych", wersja 1.0, Bruksela 2021 (Przykłady błędnej wysyłki korespondencji elektronicznej).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.12 (Zapobieganie wyciekowi danych), A.8.20 (Bezpieczeństwo sieci), A.8.26 (Wymagania bezpieczeństwa aplikacji).
• Urząd Ochrony Danych Osobowych: "Jak bezpiecznie korzystać z poczty elektronicznej w organizacji - wskazówki IOD", Warszawa 2022.

• U2 Prawidłowa kwalifikacja błędu operacyjnego DW jako naruszenia poufności danych.
• U1 Projekt architektury bezpiecznej wysyłki mailingowej z wykorzystaniem bramek API.
• U3 Szacowanie ryzyka phishingu dla konsumentów e-commerce po wycieku adresów e-mail.
• U4 Przygotowanie formalnej dokumentacji poaudytowej i wystąpienie seminaryjne.
• W1W2W3 Znajomość orzecznictwa UODO, zasad RODO i normy ISO 27001 w obszarze komunikacji cyfrowej.
• K1K2K3 Zrozumienie wpływu procedur organizacyjnych na ochronę praw konsumentów w gospodarce cyfrowej.

W referacie seminaryjnym wskażcie różnicę techniczną w nagłówkach protokołu SMTP pomiędzy polami 'To:', 'Cc:' oraz 'Bcc:' i wyjaśnijcie, dlaczego serwery pocztowe usuwają nagłówek Bcc przed przekazaniem wiadomości do skrzynki odbiorcy.

Głównym celem zadania jest uświadomienie studentom, że przepisy RODO mają w pełni zastosowanie do danych przetwarzanych w formie tradycyjnej (kartoteki papierowe, teczki akt) oraz wykształcenie umiejętności audytowania fizycznego bezpieczeństwa dokumentacji i procedur jej bezpiecznego niszczenia. Studenci badają incydent w Miejskim Ośrodku Pomocy Społecznej (MOPS), w którym podczas remontu archiwum pracownicy gospodarczy wyrzucili do ogólnodostępnego, otwartego kontenera na odpady komunalne 85 teczek zawierających szczegółowe wywiady środowiskowe, zaświadczenia o dochodach, orzeczenia o stopniu niepełnosprawności oraz dane dotyczące uzależnień i przemocy domowej podopiecznych ośrodka. Zadanie obejmuje analizę naruszenia art. 5 ust. 1 lit. f i art. 32 RODO, weryfikację spełnienia wymagań normy DIN 66399 (niszczenie nośników informacji), ocenę ryzyka stygmatyzacji podopiecznych, procedurę oceny przesłanek zgłoszenia do UODO oraz bezpośredniego zawiadomienia osób, a także zaprojektowanie bezpiecznego obiegu i likwidacji dokumentacji papierowej.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja naruszenia krytycznego (NC1) w sferze bezpieczeństwa fizycznego dokumentacji i braków w nadzorze nad procesami brakowania akt.
• U1 Opracowanie projektu procedury brakowania i niszczenia dokumentacji papierowej z wykorzystaniem profesjonalnych niszczarek i bezpiecznych pojemników zamykanych na klucz.
• U3 Szacowanie ryzyka naruszenia dóbr osobistych, godności i prywatności osób korzystających ze świadczeń pomocy społecznej.
• U4 Sporządzenie protokołu powypadkowego i raportu z audytu zgodności procedur archiwizacji z wytycznymi UODO i Krajowych Ram Interoperacyjności (KRI).
• W1 Znajomość przepisów Ustawy o pomocy społecznej, ustawy o narodowym zasobie archiwalnym i archiwach oraz zasad RODO w odniesieniu do zbiorów tradycyjnych.
• W2W3 Zrozumienie normy DIN 66399 (klasy ochrony i poziomy tajności P-4/P-5) oraz kontroli normy PN-EN ISO/IEC 27001:2022 (A.7 Bezpieczeństwo fizyczne, A.7.14 Bezpieczne pozbywanie się lub ponowne użycie sprzętu i nośników).
• K1K2K3 Kształtowanie szacunku dla godności ludzkiej, empatii wobec osób w trudnej sytuacji życiowej oraz rygorystycznego podejścia do ochrony tajemnicy zawodowej pracownika socjalnego.
• Powiązanie z wykładem: Wyk1 (Audyt bezpieczeństwa informacji tradycyjnej), Wyk2 (Zbieranie dowodów z oględzin fizycznych), Wyk3 (Kontrole fizyczne ISO 27001 A.7), Wyk4 (RODO i KRI w samorządzie), Wyk5 (Ryzyko naruszenia dóbr osobistych), Wyk7 (Niezgodności krytyczne i działania korygujące).

Miejski Ośrodek Pomocy Społecznej w Radomiu realizuje zadania z zakresu wsparcia rodzin, wypłaty zasiłków, pomocy osobom bezdomnym oraz przeciwdziałania przemocy domowej (procedura Niebieskie Karty). W związku z planowanym remontem pomieszczeń archiwum zakładowego Dyrektor MOPS wydał polecenie uporządkowania i wybrakowania przeterminowanej dokumentacji zasiłkowej.

Stan faktyczny w obszarze zarządzania dokumentacją i incydentu:

• Zamiast powołania komisji ds. brakowania akt i zlecenia niszczenia certyfikowanej firmie zewnętrznej posiadającej instalację niszczącą zgodnie z normą DIN 66399, pracownicy administracyjno-gospodarczy zapakowali dokumenty w worki foliowe i wrzucili je do otwartego kontenera na śmieci ustawionego na niestrzeżonym podwórzu ośrodka.
• W kontenerze znalazło się 85 kompletnych teczek podopiecznych z lat 2018-2022. Każda teczka zawierała: kwestionariusze rodzinnego wywiadu środowiskowego, numery PESEL całej rodziny, zaświadczenia lekarskie o chorobach psychicznych i onkologicznych, orzeczenia o niepełnosprawności, zaświadczenia z izby wytrzeźwień, protokoły interwencji policji w sprawach przemocy domowej oraz zaświadczenia o dochodach.
• Dokumenty zostały odnalezione przez przechodnia poszukującego surowców wtórnych, który poinformował lokalną gazetę oraz portal internetowy. Dziennikarze zabezpieczyli część dokumentów i opublikowali artykuł o 'skandalu w radomskim MOPS' z anonimizowanymi zdjęciami porzuconych akt.
• Dyrekcja MOPS podjęła natychmiastową akcję zabezpieczenia pozostałości dokumentów z kontenera, jednak co najmniej kilkanaście teczek zostało rozwianych przez wiatr lub zabranych przez nieznane osoby.
• Kontrola wewnętrzna wykazała, że w MOPS nie było ani jednej niszczarki o poziomie bezpieczeństwa wyższym niż DIN P-1 (paski o szerokości 6 mm, które można łatwo odtworzyć), nie prowadzono ewidencji wydawania kluczy do archiwum, a pracownicy nie znali procedury postępowania z dokumentacją archiwalną i niearchiwalną.

Prezydent Miasta kieruje do MOPS zewnętrzny zespół audytorów bezpieczeństwa informacji w celu zbadania przyczyn zaniedbania, sporządzenia raportu dla Prezesa UODO i wdrożenia standardu bezpieczeństwa fizycznego.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Organizacja i Standardy Archiwalne - bada strukturę organizacyjną MOPS, regulamin archiwum zakładowego, zgodność z instrukcją kancelaryjną i archiwalną oraz koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny i Bezpieczeństwa Fizycznego - przeprowadza wizję lokalną archiwum i punktów składowania odpadów, weryfikuje wyposażenie placówki w urządzenia niszczące zgodnie z normą DIN 66399, projektuje system bezpiecznych, zamykanych szaf i pojemników na ścinki dokumentów.
• Rola 3: Audytor Zgodności Prawnej i Praw Podopiecznych - ocenia naruszenie art. 9 i art. 32 RODO, bada orzecznictwo UODO w sprawach porzucenia dokumentacji papierowej, przygotowuje projekt zgłoszenia do UODO oraz, jeżeli zachodzą przesłanki art. 34 RODO, projekt indywidualnych pism do podopiecznych, których teczki zaginęły. W zespole 2-osobowym obowiązki te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na zbadaniu incydentu fizycznego, ocenie skutków prawno-społecznych i stworzeniu rygorystycznej procedury obiegu dokumentacji tradycyjnej:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Analizuje obieg dokumentacji papierowej w MOPS, brak procedury komisyjnego brakowania akt (konieczność weryfikacji właściwej procedury brakowania i, w odniesieniu do materiałów archiwalnych, uzyskania wymaganej zgody właściwego archiwum państwowego), wywiady z pracownikami gospodarczymi i Dyrektorem MOPS.

  Student 2 (Audytor Bezpieczeństwa Fizycznego): Opracowuje specyfikację techniczną niszczarek dokumentów zgodnie z normą DIN 66399: dobiera poziom niszczenia zgodnie z klasyfikacją danych i oceną ryzyka; nie przyjmuje automatycznie poziomu P-4 lub P-5 dla każdej kategorii danych. Projektuje procedurę bezpiecznych pojemników aluminiowych zamykanych na klucz (bezpieczne kontenery depozytowe) oraz umowę powierzenia przetwarzania danych z certyfikowaną firmą utylizacyjną.

  Student 3 (Audytor Prawny): Kwalifikuje ryzyko jako wysokie, z zastrzeżeniem udokumentowania przesłanek tej oceny: ujawnienie faktu korzystania z pomocy społecznej, chorób psychicznych i alkoholizmu w środowisku lokalnym to poważne ryzyko dyskryminacji i ostracyzmu. Przygotowuje projekt zawiadomienia Prezesa UODO w trybie art. 33 oraz ocenę przesłanek i plan ewentualnego zawiadomienia poszkodowanych rodzin w trybie art. 34.

• Krok 2 (Triangulacja dowodów audytowych):

  Zestawcie protokół z oględzin kontenera na odpady, artykuły prasowe z dokumentacją fotograficzną, spis brakowanych teczek z ewidencji MOPS oraz brak protokołu zniszczenia akt. Udowodnijcie poważne zaburzenie kontroli wewnętrznej nad niszczeniem danych.

• Krok 3 (Kwalifikacja naruszenia i niezgodności):

  Sformułujcie kartę niezgodności krytycznej (NC1) z art. 5 ust. 1 lit. f RODO (naruszenie poufności), art. 32 ust. 1 lit. b RODO (brak fizycznych środków ochrony) oraz kontrolami ISO 27001 A.7.14 (Bezpieczne pozbywanie się nośników).

• Krok 4 (Opracowanie koncepcji rozwiązania problemu):

  Zaprojektujcie system zarządzania bezpieczeństwem dokumentacji tradycyjnej:

  1. Polityka czystego biurka i czystego ekranu (Clean Desk / Clear Screen Policy): zakaz pozostawiania akt na biurkach po zakończeniu pracy, zgodnie z polityką ochrony danych, obowiązek przechowywania teczek w szafach pancernych klasy co najmniej A.

  2. Procedura brakowania i niszczenia akt: coroczne komisyjne brakowanie pod nadzorem IOD i archiwisty; wprowadzenie zapieczętowanych pojemników na dokumentację do zniszczenia; podpisanie umowy powierzenia (art. 28 RODO) z firmą niszczącą posiadającą certyfikat DIN 66399 z monitoringiem wideo procesu mielenia papieru.

  3. Infrastruktura: zakup niszczarek przybiurkowych klasy DIN P-4 dla każdego działu merytorycznego do bieżącego niszczenia brudnopisów i kopii roboczych.

• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Przygotujcie raport poaudytowy zawierający wzorcowy regulamin niszczenia dokumentów, projekt zgłoszenia do UODO oraz, jeżeli zachodzą przesłanki art. 34, projekt pisma do podopiecznego oraz analizę wad i zalet rozwiązań in-house vs. outsourcing utylizacji.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie do specyfiki ochrony danych w pomocy społecznej i opis incydentu w Radomiu (2 min): Charakter danych podopiecznych, opis porzucenia akt w kontenerze (Student 1).
• Standardy techniczne i fizyczne niszczenia dokumentacji wg normy DIN 66399 (4 min): Omówienie poziomów bezpieczeństwa od P-1 do P-7, prezentacja wymogów dla niszczarek P-4/P-5 i bezpiecznych pojemników depozytowych (Student 2).
• Aspekty prawne RODO i ocena ryzyka dla podopiecznych (3 min): Kwalifikacja wycieku wywiadów środowiskowych, zawiadomienie UODO, odpowiedzialność karna i cywilna kierownictwa jednostki (Student 3 lub Student 1).
• Kompleksowa procedura naprawcza i analiza wad i zalet (3 min): Zestawienie kosztów niszczarek i outsourcingu, procedury komisyjne, polityka czystego biurka (Student 2 i Student 3).
• Wnioski, rekomendacje dla jednostek budżetowych i dyskusja z salą (2 min): Odpowiedzi na pytania (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• W jaki sposób przepisy RODO definiują zbiory danych w formie tradycyjnej (kartoteki, akta papierowe) i jakie wymagania stawiają ich bezpieczeństwu?
• Na czym polegają wymagania normy DIN 66399 dotyczące poziomów niszczenia dokumentów papierowych i dlaczego pocięcie papieru w paski (poziom P-1/P-2) nie spełnia standardów ochrony danych wrażliwych?
• Jakie konsekwencje prawne grożą kierownikowi jednostki sektora finansów publicznych za niedopełnienie obowiązków ochrony danych i niewłaściwe brakowanie dokumentacji archiwalnej?

2. Opis stanu faktycznego, wykaz kategorii ujawnionych dokumentów i skutki wycieku dla społeczności lokalnej.

3. Karta niezgodności audytowej z art. 5 ust. 1 lit. f, art. 9 i art. 32 RODO oraz kontrolą ISO 27001 A.7.14 wraz z wpisem do rejestru naruszeń.

4. Szczegółowe rozwiązanie problemu:

• Regulamin brakowania i niszczenia dokumentacji w Miejskim Ośrodku Pomocy Społecznej.
• Wymagania techniczne dla urządzeń niszczących (DIN 66399; poziom dobierany zależnie od ryzyka) oraz wzór umowy powierzenia przetwarzania danych z profesjonalną firmą utylizacyjną (art. 28 RODO).
• Projekt zawiadomienia do Prezesa UODO oraz, jeżeli zachodzą przesłanki art. 34, projekt zawiadomienia podopiecznego o naruszeniu.

5. Analiza zalet i wad wybranego rozwiązania:

• Zalety: wyższy poziom bezpieczeństwa fizycznego danych podopiecznych, eliminacja ryzyka kolejnych wycieków papierowych, formalne uporządkowanie archiwum, zgodność z prawem archiwalnym i RODO.
• Wady/wyzwania: koszty zakupu profesjonalnych niszczarek i szaf atestowanych, stałe opłaty za odbiór zapieczętowanych kontenerów przez firmę utylizacyjną, dodatkowy nakład pracy pracowników przy ewidencji brakowania.

6. Bibliografia, netografia i odnośniki do normy DIN 66399, Ustawy o pomocy społecznej i wytycznych UODO.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 2 ust. 1 (Zakres stosowania do zbiorów tradycyjnych), art. 5 ust. 1 lit. f (Integralność i poufność), art. 9 (Szczególne kategorie danych), art. 32 (Bezpieczeństwo przetwarzania).
• Norma DIN 66399: "Niszczenie nośników danych - Część 1: Podstawy i terminy, Część 2: Wymagania dla urządzeń do niszczenia nośników danych", 2012 (Poziomy niszczenia dokumentów papierowych P-1 do P-7).
• Ustawa z dnia 12 marca 2004 r. o pomocy społecznej (Dz.U. z 2023 r. poz. 901 z późn. zm.) - przepisy o poufności wywiadów środowiskowych.
• Ustawa z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz.U. z 2020 r. poz. 164 z późn. zm.).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.7.1 (Fizyczny perymetr bezpieczeństwa), A.7.10 (Nośniki danych), A.7.14 (Bezpieczne pozbywanie się lub ponowne użycie sprzętu).
• Urząd Ochrony Danych Osobowych: "Bezpieczeństwo danych osobowych przetwarzanych w postaci papierowej - wskazówki praktyczne", Warszawa 2020.

• U2 Identyfikacja krytycznych luk w fizycznym zabezpieczeniu i niszczeniu dokumentacji papierowej.
• U1 Projekt procedury bezpiecznego obiegu i komisyjnego brakowania dokumentów aktowych.
• U3 Szacowanie ryzyka naruszenia dóbr osobistych osób podlegających opiece społecznej.
• U4 Przygotowanie protokołu audytowego, zgłoszenia do UODO i wygłoszenie referatu.
• W1W2W3 Znajomość przepisów RODO, normy DIN 66399 i ustawy o pomocy społecznej.
• K1K2K3 Wrażliwość na ochronę prywatności grup wrażliwych i etyczna postawa urzędnika/audytora.

W trakcie referatu zaprezentujcie tabelę porównawczą poziomów bezpieczeństwa normy DIN 66399 (od P-1 do P-7) ze szczególnym wskazaniem powierzchni ścinki papieru oraz wyjaśnijcie, dlaczego dobór poziomu niszczenia musi wynikać z ryzyka i wymagań ochrony, a nie z automatycznej reguły dla instytucji publicznych.

Głównym celem zadania jest wykształcenie u studentów umiejętności badania i kwalifikowania naruszeń ochrony danych wynikających z cyberataków typu Ransomware ze szczególnym uwzględnieniem naruszenia integralności i dostępności danych osobowych (art. 32 ust. 1 lit. b i c RODO). Studenci analizują studium przypadku sieci 15 prywatnych przychodni medycznych, w której w wyniku ataku złośliwego oprogramowania szyfrującego doszło do zablokowania głównej bazy danych pacjentów (ponad 85 000 kartotek) oraz równoległego zaszyfrowania sieciowych kopii zapasowych (NAS podłączony przez SMB). Paraliż systemu uniemożliwił przyjęcia pacjentów, dostęp do historii leczenia i podawanie leków ratujących życie. Zadanie wymaga przeprowadzenia dochodzenia powłamaniowego (forensics w podstawowym zakresie audytowym), zbadania naruszenia obowiązku zapewnienia ciągłości działania i odtwarzalności danych, oceny przesłanek zgłoszenia naruszenia do Prezesa UODO oraz, o ile podmiot spełnia przesłanki KSC/NIS2, zgłoszenia do właściwego CSIRT lub sektora oraz zaprojektowania odpornej architektury kopii zapasowych w modelu 3-2-1 z niezmienną kopią offline (Air-Gap / Immutable Backup).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja niezgodności krytycznej (NC1) w obszarze zarządzania kopiami zapasowymi, segmentacji sieci i zarządzania podatnościami teleinformatycznymi.
• U1 Opracowanie zaleceń inżynierskich wdrożenia odpornej na ransomware polityki backupu (3-2-1-1-0) oraz planu ciągłości działania (BCP/DRP) placówki medycznej.
• U3 Ocena wpływu braku dostępności dokumentacji medycznej na zdrowie i życie pacjentów oraz szacowanie ryzyka podwójnego wymuszenia (Double Extortion - kradzież danych przed ich zaszyfrowaniem).
• U4 Opracowanie formalnego raportu z audytu powłamaniowego, formularza zgłoszenia incydentu do UODO oraz prezentacja wniosków na seminarium.
• W1 Znajomość wymogów RODO w zakresie dostępności i odporności systemów (art. 32 ust. 1 lit. c), Ustawy o krajowym systemie cyberbezpieczeństwa (KSC) oraz dyrektywy NIS2.
• W2W3 Zrozumienie wytycznych EROD dotyczących ataków ransomware, normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.13 Kopie zapasowe informacji, A.8.14 Redundancja, A.5.29 Bezpieczeństwo informacji podczas zakłóceń) oraz normy ISO 22301.
• K1K2K3 Świadomość krytycznego znaczenia cyberbezpieczeństwa dla ochrony życia ludzkiego oraz dyscyplina w raportowaniu zdarzeń o charakterze kryzysowym.
• Powiązanie z wykładem: Wyk1 (Audyt w infrastrukturze krytycznej i medycznej), Wyk3 (Kontrole A.8.13 i A.5.29 ISO 27001), Wyk4 (RODO i KSC/NIS2 w ochronie zdrowia), Wyk5 (Szacowanie ryzyka braku dostępności ISO 27005), Wyk6 (Analiza logów ataków i dowody powłamaniowe), Wyk7 (Niezgodności krytyczne i plany naprawcze).

ZdrowiePlus S.A. prowadzi 15 przychodni specjalistycznych w województwie mazowieckim i łódzkim, zatrudnia 300 lekarzy i obsługuje 85 000 aktywnych pacjentów. Główny system medyczny (Elektroniczna Dokumentacja Medyczna - EDM) oparty jest na klastrze bazodanowym zlokalizowanym w centralnej serwerowni w Warszawie.

Stan faktyczny w obszarze ataku ransomware i infrastruktury:

• W nocy z niedzieli na poniedziałek cyberprzestępcy uzyskali dostęp do sieci wewnętrznej spółki poprzez podatną i niezałataną bramę VPN (znana podatność w oprogramowaniu FortiOS nieaktualizowanym od 14 miesięcy).
• Po uzyskaniu przyczółka napastnicy dokonali eskalacji uprawnień do konta administratora domeny Active Directory, wykorzystując słabe hasło serwisowe Administrator2023!.
• W ciągu 4 godzin ransomware sparaliżował 42 serwery wirtualne, szyfrując wszystkie bazy danych pacjentów, wyniki badań laboratoryjnych, obrazy tomografii i RTG oraz systemy billingowe. Na pulpitach serwerów pozostawiono plik README_RESTORE.txt z żądaniem okupu w wysokości 500 000 USD w kryptowalucie Monero.
• Administratorzy podjęli próbę przywrócenia bazy z kopii zapasowej. Wówczas okazało się, że centralna pamięć masowa NAS dedykowana do backupów była podłączona do sieci produkcyjnej na stałe za pośrednictwem protokołu SMB z uprawnieniami tego samego konta administratora domeny. Ransomware zaszyfrował również wszystkie pliki kopii zapasowych z ostatnich 6 miesięcy.
• Ostatnia nienaruszona kopia zapasowa na nośnikach taśmowych pochodziła sprzed 11 miesięcy, ponieważ placówka zrezygnowała z cotygodniowego zapisu taśm LTO z uwagi na redukcję kosztów.
• W poniedziałek rano przychodnie nie mogły przyjąć pacjentów, lekarze nie wiedzieli jakie leki podać chorym na oddziałach dziennych chemioterapii, a planowane zabiegi chirurgiczne musiały zostać odwołane.
• Administratorzy nie potrafili odpowiedzieć na pytanie, czy przed zaszyfrowaniem danych doszło do ich eksfiltracji (kradzieży na zewnątrz), ponieważ serwery proxy i zapory sieciowe nie rejestrowały pełnych logów ruchu wychodzącego NetFlow.

Zarząd ZdrowiePlus S.A. powołuje niezależny zespół audytorów w celu oceny skali naruszenia RODO, wsparcia w notyfikacji organów państwowych oraz przygotowania strategii odtworzeniowej.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ciągłość Działania i BCP - bada plan awaryjny placówki leczniczej, procedury reagowania na incydenty kryzysowe, umowy SLA z dostawcami systemów medycznych oraz koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny i Architektury Cyberbezpieczeństwa - bada wektor włamania przez nieaktualny VPN, analizuje konfigurację backupów NAS, wykazuje brak segmentacji sieci i brak mechanizmu WORM (Write Once, Read Many) oraz projektuje architekturę niezmiennych kopii zapasowych Immutable Backup i Air-Gap.
• Rola 3: Audytor Zgodności Regulacyjnej i Prawnej - dokonuje kwalifikacji prawnej naruszenia dostępności i integralności (art. 32 ust. 1 lit. c RODO) oraz potencjalnej utraty poufności (art. 33/34 RODO), przygotowuje projekt zgłoszenia do Prezesa UODO oraz ocenę przesłanek zgłoszenia do właściwego CSIRT oraz opracowuje projekt komunikatu kryzysowego dla pacjentów. W zespole 2-osobowym obowiązki te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na analizie incydentu ransomware, zbadaniu podatności systemowych i opracowaniu koncepcji odpornego systemu kopii zapasowych oraz procedur awaryjnych:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Analizuje procedury zarządzania ciągłością działania (BCP) i odtwarzaniem po awarii (DRP). Ustala czas przestoju placówek i zagrożenie dla zdrowia pacjentów wynikające z braku dostępu do EDM.

  Student 2 (Audytor Techniczny IT): Analizuje architekturę sieciową i backupu. Wskazuje krytyczne błędy: brak aktualizacji firmware bramy VPN, współdzielenie poświadczeń domenowych z zasobem backupowym oraz brak niezależnych kopii odizolowanych od sieci (Air-Gap). Projektuje wdrożenie modelu 3-2-1-1-0: 3 kopie danych, 2 różne nośniki, 1 kopia w chmurze lub innej lokalizacji, 1 kopia offline/niezmienna (Immutable WORM) oraz 0 błędów w cyklicznych testach odzyskiwania.

  Student 3 (Audytor Prawny / Compliance): Kwalifikuje naruszenie pod kątem RODO: zgodnie z Wytycznymi EROD 01/2021 utrata dostępności danych medycznych może stanowić naruszenie; obowiązek zgłoszenia do UODO należy ocenić z art. 33 ust. 1 RODO, a zawiadomienie pacjentów z art. 34 RODO, a w sytuacji paraliżu leczenia i podejrzenia kradzieży danych - wymaga oceny przesłanek z art. 34 RODO i, jeżeli ryzyko jest wysokie, zawiadomienia pacjentów.

• Krok 2 (Triangulacja dowodów audytowych):

  Powiążcie logi bramy sieciowej potwierdzające eksploatację luki w VPN, pliki żądania okupu z rozszerzeniem zaszyfrowanych baz danych, status partycji NAS oraz brak procedur weryfikacji kopii zapasowych w dokumentacji SZBI.

• Krok 3 (Kwalifikacja naruszenia i niezgodności):

  Sformułujcie kartę niezgodności krytycznej (NC1) z art. 32 ust. 1 lit. b i c RODO (brak zdolności do szybkiego przywrócenia dostępności i odporności) oraz kontrolami ISO 27001:2022 A.8.13 (Kopie zapasowe), A.8.8 (Zarządzanie podatnościami technicznymi) i A.8.20 (Bezpieczeństwo sieci).

• Krok 4 (Opracowanie koncepcji rozwiązania problemu):

  Zaprojektujcie strategię odporności na ataki typu ransomware:

  1. Architektura backupu nowej generacji: wdrożenie dedykowanego serwera kopii zapasowych w wydzielonej, odizolowanej podsieci (Out-of-Band Management), z uwierzytelnianiem MFA, z repozytorium typu Linux Hardened Repository z blokadą niezmienności danych (Immutability flag) na okres min. 30 dni, uniemożliwiającą usunięcie lub zaszyfrowanie kopii nawet przez administratora domeny.

  2. Bezpieczeństwo perymetrii i tożsamości: natychmiastowe łatanie bram VPN, wyłączenie bezpośredniego dostępu do pulpitu zdalnego RDP z internetu, wymuszenie MFA dla każdego pracownika i administratora, wdrożenie segmentacji sieci medycznej i administracyjnej (VLAN + microsegmentation).

  3. Procedury ciągłości działania: opracowanie papierowych procedur awaryjnych prowadzenia kartoteki pacjenta podczas braku prądu lub sieci oraz kwartalne testy odzyskiwania baz danych (Disaster Recovery Drills).

• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Sformułujcie wnioski z audytu, zestawcie wady i zalety proponowanej architektury backupu (koszty macierzy immutable vs. straty finansowe i kary UODO za paraliż przychodni) oraz przygotujcie referat seminaryjny.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Przedstawienie incydentu ransomware w sieci ZdrowiePlus S.A. (2 min): Skala placówki, liczba pacjentów, paraliż operacyjny i wektor ataku przez VPN (Student 1).
• Analiza techniczna podatności infrastruktury i błędów w architekturze backupu (4 min): Dlaczego NAS podłączony przez SMB nie stanowi bezpiecznego backupu, demonstracja mechanizmu Immutable Backup i reguły 3-2-1 (Student 2).
• Skutki prawne w świetle RODO, KSC i wytycznych EROD (3 min): Naruszenie dostępności jako naruszenie ochrony danych, ryzyko utraty życia/zdrowia, ocena zgłoszeń do UODO i właściwego CSIRT oraz komunikacja z pacjentami (Student 3 lub Student 1).
• Projekt odpornego systemu ochrony danych i analiza wad oraz zalet (3 min): Odizolowane środowiska kopii, niezmienność WORM, procedury Disaster Recovery i kalkulacja kosztów (Student 2 i Student 3).
• Wnioski, rekomendacje i dyskusja ze słuchaczami (2 min): Odpowiedzi na pytania sali (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Dlaczego utrata dostępności danych osobowych (np. zaszyfrowanie bazy bez możliwości jej szybkiego odtworzenia) stanowi naruszenie ochrony danych w rozumieniu art. 4 pkt 12 RODO, nawet jeśli nie udowodniono wycieku danych na zewnątrz?
• Czym charakteryzuje się nowoczesna reguła kopii zapasowych 3-2-1-1-0 i w jaki sposób technologia niezmiennych kopii (Immutable Backup / WORM) chroni organizację przed skutkami ataku ransomware?
• Jakie obowiązki informacyjne ciążą na podmiocie leczniczym wobec pacjentów, gdy paraliż bazy danych uniemożliwia realizację świadczeń zdrowotnych i rodzi ryzyko podwójnego wymuszenia (Double Extortion)?

2. Opis stanu faktycznego, analiza wektora infekcji oraz przebieg paraliżu operacyjnego placówek medycznych.

3. Karta niezgodności audytowej z normą ISO/IEC 27001 (kontrole A.8.8, A.8.13, A.8.20, A.5.29) oraz art. 32 ust. 1 lit. b i c RODO wraz z wpisem do rejestru naruszeń.

4. Szczegółowe rozwiązanie problemu:

• Projekt techniczny wdrożenia niezmiennych kopii zapasowych (Linux Hardened Repository / AWS S3 Object Lock) odizolowanych od Active Directory.
• Procedura regularnego testowania odtwarzania danych (DR Test Plan) ze wskaźnikami RPO (Recovery Point Objective) i RTO (Recovery Time Objective).
• Projekt zawiadomienia do Prezesa UODO oraz, jeżeli spełnione są przesłanki, projekt zgłoszenia do właściwego CSIRT.

5. Analiza zalet i wad wybranego rozwiązania:

• Zalety: zwiększenie szans na odzyskanie danych bez konieczności płacenia okupu, odporność na zainfekowanie backupu, dostosowanie rozwiązań do wymogów ISO 27001 i RODO, ochrona życia i zdrowia pacjentów.
• Wady/wyzwania: wysoki koszt inwestycyjny w dedykowany sprzęt i licencje backupowe, konieczność wykwalifikowania personelu IT, dłuższy czas wykonywania pełnych kopii zapasowych poza pasmem produkcyjnym.

6. Bibliografia, netografia i odnośniki do normy ISO 22301, wytycznych EROD i poradników CSIRT NASK.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 4 pkt 12 (Definicja naruszenia), art. 32 ust. 1 lit. b i c (Ciągłość, odporność i szybkie przywrócenie dostępności), art. 33 (Zgłoszenie do organu), art. 34 (Zawiadomienie osób).
• Europejska Rada Ochrony Danych (EROD): "Wytyczne 01/2021 w sprawie przykładów dotyczących zgłaszania naruszeń ochrony danych", wersja 1.0, 2021 (Przykłady 1 i 2: Ataki typu ransomware na bazy danych).
• Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego CSIRT NASK: "Ransomware - mechanizmy działania, profilaktyka i reagowanie na incydenty", Raport CERT Polska, Warszawa 2023.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.8 (Zarządzanie podatnościami), A.8.13 (Kopie zapasowe), A.8.14 (Redundancja), A.5.29 (Bezpieczeństwo informacji podczas zakłóceń).
• Norma PN-EN ISO 22301:2020: "Bezpieczeństwo i odporność - Systemy zarządzania ciągłością działania - Wymagania".
• Urząd Ochrony Danych Osobowych: "Komunikat Prezesa UODO w sprawie ataków z użyciem oprogramowania ransomware", Warszawa 2022.

• U2 Identyfikacja krytycznych podatności w systemie backupu i pomyślna kwalifikacja incydentu ransomware.
• U1 Projekt architektury niezmiennych kopii zapasowych w standardzie 3-2-1 oraz procedur Disaster Recovery.
• U3 Ocena wpływu utraty dostępności danych medycznych na prawa pacjentów i ocenę przesłanek zgłoszenia do UODO.
• U4 Sporządzenie profesjonalnego raportu powłamaniowego i obrona ustaleń w formie referatu.
• W1W2W3 Znajomość wymagań art. 32 RODO, norm ISO 27001/ISO 22301 oraz wytycznych EROD i CSIRT.
• K1K2K3 Profesjonalizm i odpowiedzialność w zarządzaniu incydentami kryzysowymi w sektorze zdrowia.

W wystąpieniu seminaryjnym zdefiniujcie wskaźniki RTO (Recovery Time Objective) oraz RPO (Recovery Point Objective) i wyjaśnijcie, dlaczego w placówkach medycznych dopuszczalny czas RTO dla krytycznych baz danych pacjentów powinien wynosić maksymalnie kilka godzin.

Celem zadania jest wykształcenie umiejętności audytowania wewnętrznych naruszeń bezpieczeństwa danych osobowych spowodowanych celowym nadużyciem uprawnień służbowych przez pracowników (zjawisko tzw. 'employee snooping' / wścibstwa pracowniczego). Studenci badają incydent w banku spółdzielczym, w którym starszy inspektor ds. obsługi klienta przez 9 miesięcy regularnie i bez jakiegokolwiek uzasadnienia służbowego przeglądał salda kont, wyciągi z rachunków bankowych, historię transakcji kartowych, wysokość wynagrodzeń oraz wnioski kredytowe 140 osób – w tym swoich sąsiadów, lokalnych przedsiębiorców, radnych gminy oraz członków rodziny. Zadanie obejmuje analizę naruszenia relację z administratorem (art. 4 pkt 2 i art. 29 RODO, jeżeli pracownik działa jako podmiot przetwarzający) oraz tajemnicy bankowej, badanie logów audytowych w centralnym systemie bankowym (Core Banking System), ocenę braku wdrożenia automatycznych mechanizmów detekcji anomalii (systemy SIEM/UEBA), analizę ryzyka szantażu lub ujawnienia danych majątkowych w środowisku lokalnym, zgłoszenie naruszenia do UODO i Komisji Nadzoru Finansowego (KNF) oraz wdrożenie rygorystycznej kontroli dostępu opartej na rolach (RBAC) i zasadzie wiedzy koniecznej (Need-to-Know).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i klasyfikacja niezgodności w zakresie braku monitorowania dostępu uprzywilejowanego i zaniechania okresowej weryfikacji uprawnień użytkowników.
• U1 Opracowanie zaleceń inżynierskich dotyczących konfiguracji reguł korelacji logów systemowych (SIEM) i automatycznego alarmowania o przeglądaniu kartotek klientów bez powiązania z otwartą sprawą biznesową.
• U3 Szacowanie ryzyka naruszenia praw i wolności osób fizycznych w aspekcie utraty poufności sytuacji majątkowej, ryzyka wymuszeń, kradzieży tożsamości oraz utraty reputacji banku zaufania publicznego.
• U4 Opracowanie raportu z audytu śledczego, przygotowanie projektu zgłoszenia naruszenia do Prezesa UODO oraz sformułowanie wystąpienia seminaryjnego.
• W1 Znajomość przepisów Ustawy - Prawo bankowe (tajemnica bankowa art. 104), Kodeksu pracy oraz przepisów RODO (art. 29, 32, 33, 34).
• W2W3 Zrozumienie Rekomendacji D i Rekomendacji M Komisji Nadzoru Finansowego, normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.2 Rozsądny dostęp, A.8.3 Zarządzanie uprawnieniami, A.8.15 Rejestrowanie zdarzeń, A.8.16 Monitorowanie aktywności) oraz wytycznych EROD.
• K1K2K3 Kształtowanie postawy bezkompromisowości wobec nadużyć wewnętrznych, poszanowania tajemnicy zawodowej i etyki bankowej.
• Powiązanie z wykładem: Wyk1 (Audyt w sektorze bankowym), Wyk2 (Zasady audytowania ISO 19011), Wyk3 (Kontrole dostępowe i logowanie ISO 27001), Wyk4 (RODO i Prawo bankowe / Rekomendacja D KNF), Wyk5 (Ocena ryzyka naruszenia tajemnicy finansowej), Wyk6 (Techniki analizy logów i triangulacja dowodów), Wyk7 (Klasyfikacja naruszeń i raportowanie).

Nadwiślański Bank Spółdzielczy w Solcu obsługuje 18 000 klientów indywidualnych i rolników oraz prowadzi rachunki dla jednostek samorządu terytorialnego. W banku eksploatowany jest zintegrowany system informatyczny 'BankSys' obsługujący rachunki, lokaty i kredyty.

Stan faktyczny w obszarze uprawnień i incydentu:

• Starszy inspektor ds. obsługi klienta w oddziale banku posiadał w systemie 'BankSys' szerokie uprawnienia dostępowe (profil 'Doradca Klienta'), które umożliwiały mu wyszukanie po numerze PESEL lub nazwisku dowolnego klienta całego banku (wszystkich oddziałów) i wyświetlenie pełnej historii jego rachunków, wpływów z wynagrodzeń, zadłużenia komorniczego oraz zaciągniętych pożyczek.
• Incydent został ujawniony przypadkowo, gdy jeden z lokalnych przedsiębiorców złożył formalną skargę do Zarządu Banku, informując, że podczas spotkania towarzyskiego pracownik banku publicznie nawiązał do faktu, że przedsiębiorca ten w zeszłym tygodniu otrzymał duży przelew unijny oraz spłacił zaległość podatkową.
• Zlecony przez IOD audyt logów serwera aplikacyjnego i bazy danych Oracle za okres ostatnich 9 miesięcy ujawnił druzgocący obraz: pracownik ten w godzinach pracy oraz tuż przed wylogowaniem systematycznie otwierał kartoteki finansowe 140 klientów banku, z którymi nie łączyły go żadne relacje służbowe (brak wniosków kredytowych, brak operacji kasowych, brak zleceń dyspozycji).
• Wśród przeglądanych osób znajdowali się: bezpośredni sąsiedzi pracownika, nauczyciele z miejscowej szkoły, radni gminy, lokalni lekarze oraz członkowie najbliższej rodziny jego współmałżonka. Wglądy powtarzały się wielokrotnie (w przypadku niektórych kont nawet 30-krotnie w ciągu kilku miesięcy).
• Dochodzenie wykazało, że system bankowy wprawdzie rejestrował zdarzenia odczytu rekordów w tabelach audytowych (audit_trail), jednak logi te nie były nigdy analizowane, nikt nie konfigurował progów alarmowych ani nie prowadził okresowej kontroli zasadności wglądów (brak monitorowania aktywności użytkowników).
• Ponadto uprawnienia w systemie nadawano na zasadzie kopiowania profilu od innych pracowników bez weryfikacji zasady wiedzy koniecznej (Need-to-Know), a pracownikom nie przypisywano 'portfela klientów', co pozwalało każdemu pracownikowi dowolnego oddziału na swobodny podgląd danych wszystkich klientów banku.

Zarząd Banku zwalnia dyscyplinarnie pracownika i powołuje zespół audytorski w celu oceny konsekwencji prawnych, notyfikacji UODO i KNF oraz zaprojektowania szczelnego systemu kontroli dostępu.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Governance Bankowy i Nadzór KNF - analizuje spełnienie wymogów Rekomendacji D KNF, regulamin pracy banku, procedury nadawania i odbierania uprawnień oraz koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny i Bezpieczeństwa Baz Danych / SIEM - analizuje mechanizmy logowania w systemie BankSys, dekonstruuje brak reguł korelacyjnych w SIEM, projektuje mechanizm automatycznego wykrywania 'wścibstwa' (np. algorytmy sprawdzające brak powiązania identyfikatora sprawy z wglądem) oraz ograniczenia uprawnień w bazie danych.
• Rola 3: Audytor Zgodności Regulacyjnej i Ochrony Danych - kwalifikuje naruszenie na gruncie art. 5, art. 6 i art. 32 RODO oraz art. 104 Prawa bankowego, a także — jeżeli spełnione są przesłanki — art. 29 RODO, ocenia ryzyko dla 140 klientów, ocenia przesłanki zgłoszenia do Prezesa UODO oraz niezależne obowiązki regulacyjne KNF oraz przygotowuje projekt indywidualnych zawiadomień klientów o bezprawnym wglądzie w ich finanse; ich wysłanie wymaga oceny przesłanek art. 34 RODO. W zespole 2-osobowym obowiązki te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na analizie naruszenia poufności przez pracownika wewnętrznego, analizie logów systemowych i opracowaniu koncepcji bezpiecznego zarządzania uprawnieniami:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada procedury nadawania uprawnień w banku, brak okresowych przeglądów uprawnień (User Access Review), brak wdrożenia zasady wiedzy koniecznej i zasady najmniejszych uprawnień (Least Privilege).

  Student 2 (Audytor Techniczny IT): Analizuje strukturę logów audytowych w systemie bankowym. Projektuje wdrożenie reguł w systemie SIEM/UEBA (User and Entity Behavior Analytics): generowanie alertu wysokiego priorytetu w sytuacji, gdy pracownik wyświetla kartotekę klienta bez otwartego w tym samym czasie zlecenia biznesowego (np. brak powiązania z numerem rachunku w kasie lub wnioskiem kredytowym) lub gdy liczba wyświetlonych kont przekracza zdefiniowany próg w ciągu godziny.

  Student 3 (Audytor Prawny / Compliance): Dokonuje oceny wagi naruszenia: naruszenie tajemnicy bankowej i poufności stanu majątkowego rodzi wysokie ryzyko dla praw i wolności osób fizycznych (możliwość szantażu, kradzieży tożsamości, ujawnienia tajemnic majątkowych w środowisku lokalnym). Uzasadnia ocenę ryzyka dla art. 33 i 34 RODO oraz, jeżeli zachodzą przesłanki, powiadomienie Prezesa UODO i zawiadomienie 140 klientów.

• Krok 2 (Triangulacja dowodów audytowych):

  Zestawcie skargę klienta, wyciąg z logów audytowych serwera BankSys z identyfikatorem konta pracownika, spis spraw biznesowych przydzielonych pracownikowi w badanym okresie oraz treść pisemnego upoważnienia do przetwarzania danych. Wykażcie rażącą dysproporcję między zakresem obowiązków a faktycznymi wglądami w dane.

• Krok 3 (Kwalifikacja naruszenia i niezgodności):

  Sformułujcie kartę niezgodności krytycznej (NC1) z art. 5, art. 6 i art. 32 ust. 1 lit. b RODO oraz ocenę zastosowania art. 29 RODO oraz kontrolami ISO 27001:2022 A.8.2 (Prawa dostępu uprzywilejowanego), A.8.3 (Ograniczenie dostępu) i A.8.16 (Monitorowanie aktywności).

• Krok 4 (Opracowanie koncepcji rozwiązania problemu):

  Zaprojektujcie system eliminacji i wczesnego wykrywania nieuprawnionego dostępu wewnętrznego:

  1. Poziom architektury uprawnień (RBAC / ABAC): ograniczenie zasięgu widoczności klientów w systemie bankowym wyłącznie do klientów przypisanych do danego oddziału lub posiadających otwartą sprawę biznesową; zablokowanie swobodnego przeszukiwania całej bazy banku po numerze PESEL bez podania uzasadnienia biznesowego (tzw. Reason for Access prompt rejestrowany w logach).

  2. Poziom monitorowania i detekcji (SIEM/UEBA): wdrożenie modułu automatycznej analizy zachowań użytkowników, który wykrywa anomalie w postaci nietypowej liczby przeglądanych kont, dostępu do kont osób o tym samym nazwisku (rodzina) lub kont osób publicznie znanych (VIP).

  3. Poziom organizacyjny: wprowadzenie comiesięcznego, losowego przeglądu wglądów przez Inspektora Ochrony Danych oraz kierowników placówek (tzw. kontrole krzyżowe) oraz obowiązkowe, coroczne szkolenia pracowników z konsekwencji karnych i dyscyplinarnych naruszenia tajemnicy bankowej i RODO.

• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Opracujcie raport poaudytowy zawierający projekt zawiadomienia Prezesa UODO, projekt komunikatu do poszkodowanych klientów z informacją o wyciągniętych konsekwencjach dyscyplinarnych; wysłanie komunikatu wymaga oceny przesłanek art. 34 RODO oraz analizę zalet i wad wprowadzenia restrykcyjnego modelu kontroli dostępu.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie do problematyki 'insider threat' i wścibstwa pracowniczego w bankowości (2 min): Przedstawienie stanu faktycznego w Nadwiślańskim Banku Spółdzielczym (Student 1).
• Analiza techniczna mechanizmów kontroli dostępu i audytu logów (4 min): Słabości profili uprawnień w systemie Core Banking, brak korelacji w SIEM i demonstracja działania systemu detekcji anomalii UEBA (Student 2).
• Kwalifikacja prawna naruszenia RODO i konsekwencje naruszenia tajemnicy bankowej (3 min): Analiza art. 5, 6 i 32 RODO, ewentualnego art. 29 RODO oraz Rekomendacji D KNF, ocenę przesłanek zgłoszenia do UODO w terminie 72 godzin i zawiadomienia 140 klientów, jeżeli zachodzą przesłanki art. 34 RODO (Student 3 lub Student 1).
• Projekt procedury naprawczej i analiza wad i zalet modelu Need-to-Know (3 min): Ograniczenia funkcjonalne vs. bezpieczeństwo, koszty wdrożenia modułu monitorującego (Student 2 i Student 3).
• Podsumowanie, wnioski dla sektora finansowego i dyskusja (2 min): Odpowiedzi na pytania audytorów (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Czym różni się naruszenie ochrony danych spowodowane atakiem zewnętrznym od naruszenia wynikającego z nieuprawnionego działania upoważnionego pracownika (tzw. zagrożenie wewnętrzne - Insider Threat)?
• W jaki sposób zasada ograniczenia dostępu (Need-to-Know) oraz kontrola dostępu oparta na rolach (RBAC) powinny być zaimplementowane w bankowym systemie transakcyjnym zgodnie z Rekomendacją D KNF?
• Jakie środki zaradcze i dyscyplinarne administrator danych powinien przedstawić w zgłoszeniu do Prezesa UODO, aby wykazać skuteczną reakcję na ujawnione wścibstwo pracownicze?

2. Opis stanu faktycznego, analiza profilu naruszyciela i statystyka nieuprawnionych wglądów w kartoteki klientów.

3. Karta niezgodności audytowej z normą ISO/IEC 27001 (kontrole A.8.2, A.8.3, A.8.15, A.8.16), art. 29 i art. 32 RODO oraz wpis do rejestru naruszeń.

4. Szczegółowe rozwiązanie problemu:

• Architektura reguł monitorowania logów w systemie SIEM wykrywająca wglądy bez uzasadnienia biznesowego.
• Wdrożenie procedury 'Reason for Access' z wymuszeniem wskazania numeru operacji lub sprawy przed otwarciem kartoteki klienta.
• projekt zawiadomienia do Prezesa UODO oraz, jeżeli zachodzą przesłanki art. 34, projekt indywidualnego powiadomienia klienta banku.

5. Analiza zalet i wad wybranego rozwiązania:

• Zalety: znaczące ograniczenie ryzyka nieuzasadnionych wglądów i poprawa nadzoru, automatyczne alarmowanie IOD o anomaliach, odbudowa zaufania klientów i dostosowanie kontroli do wymogów KNF i RODO.
• Wady/wyzwania: niewielkie spowolnienie pracy doradców klienta (konieczność wybierania kontekstu sprawy), koszty zakupu licencji na oprogramowanie klasy UEBA, ryzyko 'fałszywych alarmów' (False Positives) wymagających weryfikacji przez IOD.

6. Bibliografia, netografia i odnośniki do Prawa bankowego, Rekomendacji KNF i wytycznych EROD.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 29 (Przetwarzanie z upoważnienia administratora), art. 32 (Bezpieczeństwo przetwarzania), art. 33 (Zgłoszenie naruszenia), art. 34 (Zawiadomienie osoby).
• Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz.U. z 2023 r. poz. 2488 z późn. zm.) - art. 104 i art. 105 (Tajemnica bankowa).
• Komisja Nadzoru Finansowego (KNF): "Rekomendacja D dotycząca zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w bankach", Warszawa 2013 (Obszar zarządzania uprawnieniami i monitorowania logów).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.2 (Prawa dostępu uprzywilejowanego), A.8.3 (Ograniczenie dostępu do informacji), A.8.15 (Rejestrowanie zdarzeń), A.8.16 (Monitorowanie aktywności).
• Europejska Rada Ochrony Danych (EROD): "Wytyczne 9/2022 w sprawie zgłaszania naruszeń ochrony danych", wersja 2.0, 2023.
• Urząd Ochrony Danych Osobowych: "Naruszenia ochrony danych przez pracowników - obowiązki pracodawcy i administratora", Biuletyn UODO, Warszawa 2022.

• U2 Identyfikacja naruszenia poufności danych wywołanego wścibstwem pracowniczym i słabością RBAC.
• U1 Projekt architektury monitorowania logów i reguł SIEM/UEBA zapobiegających nieuprawnionym wglądom.
• U3 Szacowanie ryzyka naruszenia tajemnicy bankowej i dóbr osobistych klientów instytucji finansowej.
• U4 Opracowanie profesjonalnej dokumentacji poaudytowej i wygłoszenie referatu seminaryjnego.
• W1W2W3 Znajomość Prawa bankowego, Rekomendacji D KNF, normy ISO 27001 oraz zasad RODO.
• K1K2K3 Etyka bankowa, bezstronność w dochodzeniach wewnętrznych i poszanowanie prywatności klientów.

W referacie seminaryjnym przedstawcie mechanizm działania systemów UEBA (User and Entity Behavior Analytics) i wyjaśnijcie, w jaki sposób sztuczna inteligencja i uczenie maszynowe potrafią odróżnić rutynową pracę doradcy bankowego od złośliwego wścibstwa pracowniczego.

Głównym celem zadania jest wykształcenie umiejętności audytowania relacji pomiędzy administratorem danych a podmiotem przetwarzającym (procesorem) w świetle art. 28 RODO, ze szczególnym uwzględnieniem zasad dalszego powierzania przetwarzania (sub-processing / podpowierzenie) oraz transferu danych do państw trzecich (Rozdział V RODO). Studenci analizują incydent, w którym ogólnopolska spółka call center 'Teleserwis Sp. z o.o.', świadcząca usługi telemarketingu i wsparcia klienta dla operatora telekomunikacyjnego 'PolNet S.A.', bez wiedzy i uprzedniej pisemnej zgody administratora podpowierzyła obsługę kampanii podwykonawcy z siedzibą w Mołdawii (poza Europejskim Obszarem Gospodarczym). W wyniku błędnej konfiguracji publicznego zasobu chmurowego podwykonawcy doszło do niekontrolowanego wycieku danych 45 000 polskich abonentów. Zadanie wymaga oceny naruszenia art. 28 ust. 2 i 4 RODO, weryfikacji braku Standardowych Klauzul Umownych (SCC), przeprowadzenia dochodzenia audytowego w łańcuchu dostawców, zgłoszenia naruszenia do organu nadzorczego przez przekazanie administratorowi informacji o naruszeniu bez zbędnej zwłoki na podstawie art. 33 ust. 2 RODO oraz oceny przesłanek zgłoszenia przez administratora, analizy przesłanek odpowiedzialności odszkodowawczej, udziału w szkodzie i ewentualnej solidarności (art. 82 RODO) oraz zaprojektowania szczelnej procedury audytu dostawców i klauzul DPA (Data Processing Agreement).

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i klasyfikacja niezgodności krytycznej (NC1) w łańcuchu dostawców ICT polegającej na podpowierzeniu danych bez wymaganej zgody oraz transferze poza EOG bez właściwej podstawy i zabezpieczeń.
• U1 Opracowanie projektu standardowej umowy powierzenia przetwarzania danych (DPA) z mechanizmami audytowymi i karami umownymi oraz procedury weryfikacji podwykonawców.
• U3 Szacowanie ryzyka dla praw i wolności abonentów telekomunikacyjnych oraz ocena ekspozycji prawnej i finansowej administratora i procesora.
• U4 Opracowanie zintegrowanego raportu poaudytowego dla zarządów obu spółek oraz projektu formularza zgłoszenia naruszenia do Prezesa UODO.
• W1 Znajomość przepisów RODO dotyczących relacji administrator-procesor (art. 28), transferu danych do państw trzecich (art. 44-46) oraz zasad odpowiedzialności cywilnej (art. 82).
• W2W3 Zrozumienie wytycznych EROD 07/2020 w sprawie pojęć administratora i podmiotu przetwarzającego, normy PN-EN ISO/IEC 27001:2022 (kontrole A.5.19 Bezpieczeństwo informacji w relacjach z dostawcami, A.5.20 Uwzględnianie bezpieczeństwa w umowach z dostawcami, A.5.21 Zarządzanie bezpieczeństwem informacji w łańcuchu dostaw ICT).
• K1K2K3 Zdolność do bezstronnego i obiektywnego rozstrzygania sporów kompetencyjnych pomiędzy podmiotami gospodarczymi oraz etyczna postawa audytora.
• Powiązanie z wykładem: Wyk1 (Audyt w relacjach kontraktowych i łańcuchu dostaw), Wyk2 (Zasady audytowania stron trzecich ISO 19011), Wyk3 (Kontrole dostawców A.5.19-A.5.22 ISO 27001), Wyk4 (RODO art. 28 i transfery międzynarodowe), Wyk5 (Analiza ryzyka outsourcingu IT), Wyk7 (Niezgodności kontraktowe i raportowanie).

Operator telekomunikacyjny PolNet S.A. zawarł z agencją Teleserwis Sp. z o.o. umowę na prowadzenie telefonicznych kampanii retencyjnych (utrzymanie klientów). Do umowy dołączono standardową umowę powierzenia przetwarzania danych (DPA) regulującą przetwarzanie danych osobowych abonentów sieci komórkowej.

Stan faktyczny w obszarze outsourcingu i incydentu:

• W umowie DPA administrator (PolNet S.A.) zastrzegł wprost, że procesor (Teleserwis Sp. z o.o.) nie może powierzyć operacji przetwarzania danych jakiemukolwiek podwykonawcy (podprocesorowi) bez uprzedniej, szczegółowej zgody administratora wyrażonej w formie pisemnej pod rygorem nieważności.
• W związku ze spiętrzeniem prac przed końcem kwartału zarząd Teleserwis Sp. z o.o., dążąc do obniżenia kosztów operacyjnych, podpisał porozumienie o współpracy z firmą IT-Service z Kiszyniowa (Mołdawia - państwo trzecie, dla którego Komisja Europejska nie wydała decyzji o odpowiednim stopniu ochrony).
• Teleserwis przekazał mołdawskiemu podwykonawcy bazę 45 000 aktywnych abonentów PolNet S.A. zawierającą: imię, nazwisko, numer PESEL, numer telefonu, adres zamieszkania, średnią wysokość rachunku, model telefonu oraz datę zakończenia bieżącego kontraktu.
• Transfer danych nastąpił poprzez wystawienie bazy w chmurze Amazon S3. Z powodu rażącej niekompetencji administratora z Kiszyniowa zasób (S3 Bucket) został skonfigurowany jako 'Public-Read'.
• Baza danych została zaindeksowana przez wyszukiwarkę Shodan i pobrana przez nieznanych sprawców, a następnie wystawiona na sprzedaż na forum cyberprzestępczym BreachForums.
• Operator PolNet S.A. dowiedział się o incydencie z ostrzeżenia Zespołu Reagowania na Incydenty CSIRT NASK, podczas gdy agencja Teleserwis przez 5 dni ukrywała fakt zgłoszenia problemu przez mołdawskiego partnera, naruszając art. 33 ust. 2 RODO (obowiązek procesora przekazania administratorowi informacji o naruszeniu bez zbędnej zwłoki).
• Pomiędzy Teleserwis a mołdawskim podwykonawcą nie zawarto Standardowych Klauzul Umownych (Standard Contractual Clauses - SCC) zatwierdzonych przez Komisję Europejską ani nie przeprowadzono oceny skutków transferu danych (Transfer Impact Assessment - TIA).

PolNet S.A. natychmiast wypowiada umowę agencji Teleserwis, wstrzymuje płatności i wysyła zespół audytorski w celu ustalenia odpowiedzialności, sformułowania wniosków do UODO i przygotowania kroków prawnych.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Prawo Umów i Łańcuch Dostaw ICT - analizuje postanowienia umowy głównej i DPA, bada legalność transferów transgranicznych (Rozdział V RODO), mechanizmy nadzoru nad dostawcami i koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny ds. Bezpieczeństwa Chmury i Przesyłu Danych - bada konfigurację publicznego bucketa AWS S3, analizuje logi dostępowe (CloudTrail / S3 Access Logs), weryfikuje brak szyfrowania danych w spoczynku (SSE-KMS) i brak ograniczeń IP oraz projektuje techniczne mechanizmy audytu API procesora.
• Rola 3: Audytor Zgodności Regulacyjnej i Sporów Prawnych - ocenia naruszenie art. 28, art. 33 ust. 2, art. 44-46 oraz art. 82 RODO (odpowiedzialność za szkodę i ewentualna solidarność), przygotowuje projekt zgłoszenia do UODO, kalkuluje ryzyko naruszeń i projektuje, zależnie od przesłanek art. 34, komunikat dla 45 000 abonentów. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na zbadaniu naruszenia w relacji powierzenia, analizie przesłanek legalności transferu do państwa trzeciego i opracowaniu ram zarządzania podwykonawcami:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada relację umowną PolNet - Teleserwis. Wskazuje naruszenie klauzuli umownej dotyczącej zakazu podpowierzenia bez pisemnej zgody (art. 28 ust. 2 RODO) oraz naruszenie obowiązku przekazania informacji o naruszeniu przez procesora (art. 33 ust. 2 RODO).

  Student 2 (Audytor Techniczny IT): Analizuje podatność zasobu chmurowego S3. Wykazuje, że dane były przesyłane i składowane w jawnym pliku CSV bez szyfrowania po stronie serwera ani bez szyfrowania na poziomie aplikacji (brak krypto-zabezpieczeń). Projektuje mechanizm bezpiecznego udostępniania danych (SFTP z kluczami SSH, tokenizacja danych, audyt uprawnień IAM).

  Student 3 (Audytor Prawny / Compliance): Kwalifikuje naruszenie jako wieloaspektowe: naruszenie poufności, transfer poza EOG bez właściwej podstawy prawnej i zabezpieczeń (w tym brak SCC/decyzji KE), opóźnienie w notyfikacji. Wskazuje, że w razie szkody należy ocenić odpowiedzialność administratora i procesora na gruncie art. 82 RODO oraz ewentualne roszczenia regresowe; nie zakłada się automatycznej solidarności.

• Krok 2 (Triangulacja dowodów audytowych):

  Zestawcie treść umowy powierzenia DPA, korespondencję e-mail pomiędzy zarządami spółek, zrzuty z forum BreachForums potwierdzające tożsamość rekordów abonentów oraz komunikat z systemu CSIRT NASK. Wykażcie ciąg przyczynowo-skutkowy samowolnego outsourcingu.

• Krok 3 (Kwalifikacja naruszenia i niezgodności):

  Sformułujcie kartę niezgodności krytycznej (NC1) z art. 28 ust. 2 i ust. 4 RODO, art. 44 RODO (ogólna zasada przekazywania) oraz kontrolami ISO 27001:2022 A.5.19, A.5.20 i A.5.21.

• Krok 4 (Opracowanie koncepcji rozwiązania problemu):

  Zaprojektujcie ramy bezpiecznego zarządzania dostawcami i podprocesorami:

  1. Poziom kontraktowy: wprowadzenie do umów DPA klauzul 'Right to Audit' (prawo do przeprowadzania niezapowiedzianych audytów technicznych u dostawcy i jego podwykonawców), drakońskich kar umownych za samowolny sub-processing (np. 1 000 000 zł) oraz obowiązku natychmiastowej notyfikacji o jakimkolwiek incydencie w czasie do 12 godzin.

  2. Poziom prawny transferów: przed przekazaniem danych do państwa trzeciego należy zastosować właściwy mechanizm prawny, na przykład odpowiednie Standardowe Klauzule Umowne, oraz ocenić ryzyko transferu, uwzględniając TIA.

  3. Poziom techniczny i kontrolny: zastąpienie przekazywania pełnych baz danych abonentów dostępem przez odizolowane środowisko VDI (Virtual Desktop Infrastructure) z blokadą schowka i pobierania plików lub wdrożenie pseudonimizacji i tokenizacji danych przed ich udostępnieniem telemarketerom.

• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Sformułujcie raport audytowy zawierający bilans odpowiedzialności prawnej, projekt zawiadomienia do Prezesa UODO wraz z oceną przesłanek oraz projekt informacji dla 45 000 abonentów, jeżeli zachodzą przesłanki art. 34 RODO oraz zestawienie wad i zalet restrykcyjnego reżimu nadzoru nad procesorami.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Omówienie relacji administrator-procesor na przykładzie PolNet i Teleserwis (2 min): Przedstawienie stron, celów biznesowych i zakresu powierzonych danych (Student 1).
• Analiza techniczna wycieku danych z chmury Amazon S3 i braków zabezpieczeń (4 min): Błędna konfiguracja bucketu S3, brak szyfrowania, nieautoryzowany transfer danych i techniczne alternatywy w postaci VDI (Student 2).
• Prawne konsekwencje naruszenia art. 28 i Rozdziału V RODO, odpowiedzialność odszkodowawcza i ewentualna solidarność (3 min): Kary z art. 83 ust. 4 i 5 RODO, ocena odpowiedzialności i ewentualnych roszczeń regresowych z art. 82 RODO, ocena przesłanek zgłoszenia do UODO oraz ewentualne zawiadomienie abonentów (Student 3 lub Student 1).
• Wzorzec procedury audytu dostawców i bezpiecznego DPA oraz analiza wad i zalet (3 min): Prezentacja klauzul umownych, audytów dostawców i bilansu kosztów (Student 2 i Student 3).
• Podsumowanie, wnioski dla rynku telekomunikacyjnego i dyskusja (2 min): Odpowiedzi na pytania słuchaczy (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Jakie warunki formalne i prawne muszą zostać spełnione zgodnie z art. 28 ust. 2 i 4 RODO, aby podmiot przetwarzający mógł legalnie zaangażować innego podwykonawcę (podprocesora)?
• Jakie warunki legalności musi spełnić administrator lub procesor przy przekazywaniu danych osobowych do państwa trzeciego (np. Mołdawii), które nie posiada decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony?
• W jaki sposób kształtuje się odpowiedzialność cywilna administratora i procesora wobec osób poszkodowanych wyciekiem na gruncie art. 82 RODO (zasada odpowiedzialności za szkodę, udział w szkodzie i ewentualna solidarność, z uwzględnieniem prawa do regresu)?

2. Opis stanu faktycznego, analiza łańcucha powierzenia danych i chronologia ujawnienia naruszenia.

3. Karta niezgodności audytowej z normą ISO/IEC 27001 (kontrole A.5.19, A.5.20, A.5.21), art. 28, art. 33 ust. 2, art. 44-46 RODO oraz wpis do rejestru naruszeń.

4. Szczegółowe rozwiązanie problemu:

• Wzorcowy regulamin weryfikacji i cyklicznego audytowania podmiotów przetwarzających (Vendor Risk Management).
• Klauzula DPA regulująca podpowierzenie, kary umowne oraz obowiązek natychmiastowego zgłaszania incydentów.
• Projekt zawiadomienia do Prezesa UODO o naruszeniu oraz, jeżeli zachodzą przesłanki art. 34, projekt zawiadomienia abonentów sieci komórkowej.

5. Analiza zalet i wad wybranego rozwiązania:

• Zalety: względnie wysoki poziom kontroli nad łańcuchem podwykonawców, zgodność z wytycznymi EROD i orzecznictwem TSUE, zmniejszenie ryzyka naruszeń i związanych z nimi konsekwencji, ochrona abonentów.
• Wady/wyzwania: wyższy koszt prowadzenia kampanii telemarketingowych, wydłużenie czasu zawierania umów z podwykonawcami, konieczność angażowania audytorów zewnętrznych do inspekcji procesorów.

6. Bibliografia, netografia i odnośniki do decyzji KE ws. SCC, wytycznych EROD i normy ISO 27001.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 28 (Podmiot przetwarzający), art. 33 ust. 2 (Obowiązki procesora), Rozdział V art. 44-46 (Przekazywanie danych do państw trzecich), art. 82 (Odpowiedzialność i odszkodowanie).
• Decyzja wykonawcza Komisji (UE) 2021/914 z dnia 4 czerwca 2021 r. w sprawie standardowych klauzul umownych dotyczących przekazywania danych osobowych do państw trzecich (SCC).
• Europejska Rada Ochrony Danych (EROD): "Wytyczne 07/2020 w sprawie pojęć administratora i podmiotu przetwarzającego na mocy RODO", wersja 2.1, 2021.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.19 (Bezpieczeństwo w relacjach z dostawcami), A.5.20 (Uwzględnianie bezpieczeństwa w umowach), A.5.21 (Zarządzanie bezpieczeństwem w łańcuchu dostaw ICT).
• Urząd Ochrony Danych Osobowych: "Wskazówki Prezesa UODO dotyczące powierzenia przetwarzania danych osobowych", Warszawa 2021.

• U2 Prawidłowa identyfikacja niezgodności w zakresie podpowierzenia i transferu międzynarodowego.
• U1 Projekt procedury zarządzania ryzykiem dostawców i wzorcowej umowy DPA z klauzulami audytowymi.
• U3 Szacowanie ekspozycji odszkodowawczej i kar administracyjnych w łańcuchu outsourcingowym.
• U4 Opracowanie zintegrowanego raportu poaudytowego i wystąpienie seminaryjne.
• W1W2W3 Znajomość przepisów RODO (art. 28, 44-46, 82), decyzji wykonawczych KE oraz normy ISO 27001.
• K1K2K3 Obiektywizm audytorski w ocenie odpowiedzialności kontraktowej i poszanowanie zasad uczciwości w obrocie gospodarczym.

Podczas referatu seminaryjnego zaprezentujcie diagram przepływu danych pomiędzy Administratorem, Procesorem i Podprocesorem oraz wskażcie, w którym momencie nastąpiło zerwanie łańcucha legalności przetwarzania danych.

Głównym celem zadania jest opanowanie umiejętności audytowania zgodności publikacji dokumentów urzędowych w publicznych rejestrach cyfrowych (Biuletyn Informacji Publicznej - BIP) z przepisami RODO, ze szczególnym uwzględnieniem zasady minimalizacji danych (art. 5 ust. 1 lit. c RODO) oraz prawidłowości procedur anonimizacji i pseudonimizacji. Studenci badają przypadek urzędu gminy, w którym pracownik biura rady opublikował w BIP skan uchwały w sprawie umorzenia wierzytelności z tytułu podatków i opłat lokalnych wraz z załącznikiem zawierającym jawną listę 340 mieszkańców gminy – w tym ich imiona, nazwiska, numery PESEL, adresy zamieszkania, numery ksiąg wieczystych nieruchomości, powody niewypłacalności (np. alkoholizm, ciężka choroba, bezrobocie) oraz dokładne kwoty zadłużenia. Zadanie wymaga oceny braku procedur redakcyjnych przed publikacją w sieci internetowej, analizy kolizji pomiędzy jawnością życia publicznego a ochroną prywatności obywateli, przeprowadzenia oceny przesłanek zgłoszenia do Prezesa UODO oraz ewentualnego zawiadomienia mieszkańców na podstawie art. 34 RODO oraz opracowania wieloetapowej procedury weryfikacji i anonimizacji dokumentów w BIP.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja niezgodności krytycznej (NC1) w zakresie naruszenia zasady integralności, poufności i minimalizacji danych w kanale publikacyjnym administracji samorządowej.
• U1 Opracowanie procedury anonimizacji dokumentów urzędowych w BIP opartej na zasadzie 'czterech oczu' (kontrola krzyżowa przed publikacją) oraz bezpiecznych narzędziach redakcji cyfrowej (Redaction Tools).
• U3 Szacowanie ryzyka dla mieszkańców (kradzież tożsamości z wykorzystaniem numeru PESEL, wyłudzenia pożyczek, stygmatyzacja społeczna i naruszenie dóbr osobistych).
• U4 Opracowanie sprawozdania z audytu procedur publikacyjnych w samorządzie, projektu notyfikacji do UODO oraz wystąpienie seminaryjne.
• W1 Znajomość relacji pomiędzy RODO a Ustawą o dostępie do informacji publicznej, Ustawą o samorządzie gminnym oraz przepisami Kodeksu postępowania administracyjnego.
• W2W3 Zrozumienie poradników UODO dotyczących Biuletynu Informacji Publicznej, orzecznictwa sądów administracyjnych (NSA/WSA) oraz normy PN-EN ISO/IEC 27001:2022 (kontrola A.8.11 Maskowanie danych).
• K1K2K3 Wrażliwość na problematykę stygmatyzacji mieszkańców w małych społecznościach lokalnych oraz kultura odpowiedzialnego sprawowania władzy publicznej.
• Powiązanie z wykładem: Wyk1 (Audyt w administracji samorządowej), Wyk2 (Zasady audytowania procedur urzędowych), Wyk3 (Kontrola A.8.11 Maskowanie danych ISO 27001), Wyk4 (RODO i KRI a dostęp do informacji publicznej), Wyk5 (Ocena ryzyka naruszenia prywatności obywateli), Wyk7 (Klasyfikacja niezgodności i zalecenia korygujące).

Urząd Gminy w Kłodzku prowadzi urzędowy publikator teleinformatyczny – Biuletyn Informacji Publicznej (BIP), w którym zgodnie z prawem zamieszczane są uchwały Rady Gminy, protokoły z sesji oraz zarządzenia Wójta.

Stan faktyczny w obszarze publikacji BIP i zaistniałego naruszenia:

• Rada Gminy podjęła uchwałę w sprawie umorzenia zaległości podatkowych i opłat komunalnych dla grupy osób fizycznych znajdujących się w trwałym ubóstwie. Do uchwały dołączono szczegółowy załącznik finansowy sporządzony przez wydział podatków.
• Młodszy referent ds. obsługi Rady Gminy otrzymał zadanie opublikowania uchwały w BIP. Pracownik zeskanował dokument papierowy do pliku PDF, nie dokonując jakiejkolwiek anonimizacji załącznika, a następnie zamieścił go na oficjalnej stronie BIP gminy.
• Dokument w formacie PDF o nazwie uchwala_umorzenia_zalacznik.pdf wisiał w otwartym dostępie przez 24 dni, dopóki jeden z mieszkańców nie zauważył swoich danych w wynikach wyszukiwarki Google po wpisaniu własnego nazwiska.
• W dokumencie opublikowano dane 340 osób: imię, nazwisko, numer PESEL, adres zamieszkania, numer działki i księgi wieczystej, dokładną kwotę umorzonego długu oraz szczegółowe uzasadnienie komisji społecznej (np. 'skrajne ubóstwo spowodowane chorobą alkoholową małżonka', 'niewypłacalność po pożarze gospodarstwa', 'rodzina dotknięta niepełnosprawnością').
• Analiza logów serwera WWW (access.log) wykazała, że plik został pobrany przez roboty indeksujące Google, Bing oraz z kilkudziesięciu indywidualnych adresów IP.
• Dochodzenie audytowe wykazało, że w urzędzie gminy nie istniała żadna pisemna procedura weryfikacji dokumentów przed ich publikacją w BIP, nikt nie weryfikował pracy referenta, a pracownicy nie dysponowali profesjonalnym oprogramowaniem do anonimizacji (zamiast tego zdarzało się, że zamazywali tekst w programie Paint lub zakreślali czarnym markerem na papierze, co przy skanowaniu umożliwiało bezproblemowe odczytanie tekstu pod spodem).

Wójt Gminy, po zawiadomieniu przez zbulwersowanych mieszkańców, nakazuje natychmiastowe usunięcie pliku z BIP, wyindeksowanie z wyszukiwarki Google i powołuje zespół audytorski.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Prawo Samorządowe i Procedury Administracyjne - bada procedury kancelaryjne urzędu, zgodność publikacji z ustawą o dostępie do informacji publicznej, wywiady z sekretarzem gminy i koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny i Bezpieczeństwa Informacji Cyfrowej - analizuje logi pobrań serwera BIP, procedurę żądania pilnego usunięcia kopii z pamięci podręcznej Google (Google Cache / Search Console), weryfikuje narzędzia maskowania i anonimizacji cyfrowej plików PDF (narzędzia do trwałej redakcji metadanych i warstwy OCR).
• Rola 3: Audytor Zgodności Prawnej i Praw Obywatelskich - przeprowadza analizę ryzyka na gruncie art. 5 ust. 1 lit. c i art. 32 RODO, przygotowuje projekt zgłoszenia naruszenia do Prezesa UODO, ocenia przesłanki indywidualnych zawiadomień dla 340 mieszkańców (art. 34 RODO) i przygotowuje ich projekt oraz rekomendacje w zakresie ochrony przed wyłudzeniami na numer PESEL. W zespole 2-osobowym obowiązki te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na analizie incydentu publikacyjnego w samorządzie, zbadaniu kolizji prawnej jawności z prywatnością i opracowaniu procedury bezpiecznej anonimizacji:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada relację między jawnością działania organów władzy publicznej (art. 61 Konstytucji RP i ustawa o dostępie do informacji publicznej) a prawem do prywatności obywateli (art. 47 i 51 Konstytucji RP oraz RODO). Wykazuje, że dane identyfikacyjne dłużników oraz przyczyny ubóstwa nie podlegają upublicznieniu i powinny zostać usunięte albo zanonimizowane, z uwzględnieniem podstawy prawnej i zasady minimalizacji.

  Student 2 (Audytor Techniczny IT): Analizuje problem pozornej anonimizacji (np. zamalowanie czarnym paskiem w warstwie wizualnej PDF bez usunięcia warstwy tekstowej/OCR). Przedstawia zasady prawidłowej trwałej redakcji cyfrowej (Sanitization / Permanent Redaction), która usuwa obiekty wektorowe, tekst oraz metadane z pliku PDF.

  Student 3 (Audytor Prawny): Klasyfikuje naruszenie jako wysokie ryzyko dla 340 mieszkańców (zagrożenie kradzieżą tożsamości, zaciągnięciem kredytów, utratą dobrego imienia w społeczności lokalnej). Przygotowuje projekt zgłoszenia do UODO w trybie art. 33 oraz, jeżeli zachodzą przesłanki art. 34, projekt zawiadomień mieszkańców z rekomendacją zastrzeżenia numeru PESEL w rejestrze państwowym.

• Krok 2 (Triangulacja dowodów audytowych):

  Zestawcie kopię opublikowanego w BIP pliku PDF z jawnymi danymi, wpisy w logach serwera WWW potwierdzające datę publikacji i pobrania, zgłoszenia mieszkańców gminy oraz brak zarządzenia Wójta regulującego proces redakcyjny BIP.

• Krok 3 (Kwalifikacja naruszenia i niezgodności):

  Sformułujcie kartę niezgodności krytycznej (NC1) z art. 5 ust. 1 lit. c (minimalizacja danych), art. 5 ust. 1 lit. f (integralność i poufność) oraz art. 32 RODO, a także kontrolą ISO 27001:2022 A.8.11 (Maskowanie danych).

• Krok 4 (Opracowanie koncepcji rozwiązania problemu):

  Zaprojektujcie wieloetapowy standard publikacji dokumentów w BIP:

  1. Procedura podwójnej weryfikacji ('zasada czterech oczu'): żaden dokument nie może trafić do BIP bez podpisu pracownika merytorycznego dokonującego anonimizacji oraz kontrasygnaty Inspektora Ochrony Danych lub radcy prawnego urzędu potwierdzającej prawidłowość wyłączenia jawności.

  2. Wdrożenie profesjonalnego oprogramowania do redakcji cyfrowej (np. Adobe Acrobat Pro z modułem Redaction Tool) trwale usuwającego dane osobowe i metadane ze struktury pliku przed wygenerowaniem wersji publicznej.

  3. Przegląd wsteczny zasobów BIP: przeprowadzenie pełnego audytu wszystkich dotychczas opublikowanych uchwał, rejestrów i protokołów z ostatnich 5 lat pod kątem obecności zbędnych numerów PESEL i danych wrażliwych.

• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Sformułujcie wnioski z audytu, przygotujcie projekt zarządzenia Wójta wprowadzającego instrukcję redakcyjną BIP, projekt zawiadomienia UODO oraz projekt komunikacji z mieszkańcami, po ocenie przesłanek oraz zestawienie wad i zalet proponowanych rozwiązań.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Przedstawienie specyfiki BIP w jednostkach samorządu i opis incydentu w Kłodzku (2 min): Publikacja danych dłużników, skala wycieku i okoliczności zdarzenia (Student 1).
• Techniczne aspekty anonimizacji i redakcji cyfrowej dokumentów PDF (4 min): Błędy pozornego zamazania tekstu, technologia Permanent Redaction, usuwanie metadanych i logi pobrań serwera WWW (Student 2).
• Kwalifikacja prawna: granice jawności życia publicznego a zasada minimalizacji danych (3 min): Konflikt UDIP i RODO, wysokie ryzyko kradzieży tożsamości, ocenę przesłanek z art. 33 i 34 RODO (Student 3 lub Student 1).
• Procedura 'zasady czterech oczu', zarządzenie Wójta i analiza wad i zalet (3 min): Nowy proces publikacji, koszty oprogramowania, spowolnienie publikacji vs. ochrona obywateli (Student 2 i Student 3).
• Podsumowanie, wnioski dla administracji publicznej i dyskusja z salą (2 min): Odpowiedzi na pytania słuchaczy (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Jak należy rozstrzygać konflikt pomiędzy konstytucyjną zasadą jawności życia publicznego i dostępem do informacji publicznej a prawem obywatela do ochrony danych osobowych i prywatności na gruncie RODO?
• Dlaczego techniczne zaczernienie tekstu w prostych edytorach graficznych (np. nałożenie czarnego prostokąta) nie stanowi skutecznej anonimizacji pliku PDF i jak działa profesjonalna funkcja 'Redaction'?
• Jakie konkretne zalecenia i środki ostrożności wójt/burmistrz powinien wskazać mieszkańcom w zawiadomieniu o wycieku ich numerów PESEL i adresów zamieszkania (art. 34 RODO)?

2. Opis stanu faktycznego, analiza czasu ekspozycji pliku w sieci i skutki dla mieszkańców.

3. Karta niezgodności audytowej z normą ISO/IEC 27001 (kontrola A.8.11), art. 5 ust. 1 lit. c, art. 32, art. 33 i art. 34 RODO oraz wpis do rejestru naruszeń.

4. Szczegółowe rozwiązanie problemu:

• Wzorcowa instrukcja redagowania i publikowania dokumentów w Biuletynie Informacji Publicznej z kartą kontroli 'czterech oczu'.
• Specyfikacja techniczna narzędzi do nieodwracalnej anonimizacji cyfrowej dokumentacji PDF.
• Projekt zgłoszenia naruszenia do Prezesa UODO oraz, jeżeli zachodzą przesłanki art. 34, projekt pisma do poszkodowanych mieszkańców.

5. Analiza zalet i wad wybranego rozwiązania:

• Zalety: znaczące ograniczenie ryzyka publikacji wrażliwych danych w BIP, profesjonalizacja kadr urzędowych, transparentność i odbudowa zaufania mieszkańców, zgodność z orzecznictwem UODO i sądów.
• Wady/wyzwania: niewielkie wydłużenie ścieżki publikacji uchwał (konieczność podwójnej weryfikacji), koszt zakupu licencji specjalistycznego oprogramowania redakcyjnego, obciążenie IOD dodatkowymi kontrolami.

6. Bibliografia, netografia i odnośniki do orzecznictwa NSA, poradników UODO dotyczących BIP i normy ISO 27001.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 5 ust. 1 lit. c (Minimalizacja danych), art. 5 ust. 1 lit. f (Poufność), art. 6 ust. 1 lit. c i e (Podstawa prawna), art. 32, art. 33, art. 34.
• Ustawa z dnia 6 września 2001 r. o dostępie do informacji publicznej (Dz.U. z 2022 r. poz. 902 z późn. zm.) - art. 5 ust. 2 (Ograniczenie jawności ze względu na prywatność osoby fizycznej).
• Ustawa z dnia 8 marca 1990 r. o samorządzie gminnym (Dz.U. z 2023 r. poz. 40 z późn. zm.).
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrola A.8.11 (Maskowanie danych).
• Urząd Ochrony Danych Osobowych: "Biuletyn Informacji Publicznej a ochrona danych osobowych - poradnik dla podmiotów publicznych", Warszawa 2021.
• Wyrok Naczelnego Sądu Administracyjnego z dnia 14 marca 2018 r. (sygn. akt I OSK 2412/17) dotyczący ograniczenia prawa do informacji publicznej ze względu na prywatność.

• U2 Identyfikacja naruszenia zasady minimalizacji i poufności w BIP samorządowym.
• U1 Projekt procedury anonimizacji dokumentacji urzędowej z wykorzystaniem zasady czterech oczu.
• U3 Ocena ryzyka kradzieży tożsamości i naruszenia dóbr osobistych mieszkańców.
• U4 Sporządzenie sprawozdania audytowego, projektu zgłoszenia do UODO i obrona koncepcji na zajęciach.
• W1W2W3 Zrozumienie relacji prawa dostępu do informacji publicznej z RODO i normą ISO 27001.
• K1K2K3 Wrażliwość na problematykę prywatności obywateli i kultura prawna w administracji.

W trakcie prezentacji referatu seminaryjnego zademonstrujcie na przykładzie, dlaczego usunięcie tekstu w pliku PDF wymaga narzędzia typu 'Redaction' niszczącego strukturę obiektową pod spodem, a nie zwykłego nałożenia czarnego paska w edytorze tekstu.

Głównym celem zadania jest nabycie przez studentów umiejętności badania procedur bezpiecznego wycofywania z eksploatacji, likwidacji i utylizacji sprzętu teleinformatycznego (IT Asset Disposal - ITAD) w kontekście przepisów art. 32 RODO oraz międzynarodowych standardów czyszczenia nośników danych (NIST SP 800-88 / IEEE 2883). Studenci badają studium przypadku ogólnopolskiej firmy kurierskiej, w której w trakcie wymiany floty komputerowej zagubiono przesyłkę paletową zawierającą 40 wycofanych laptopów służbowych przekazywanych firmie zewnętrznej do rzekomej utylizacji. W toku audytu ujawniono, że dyski twarde (SSD/HDD) laptopów nie zostały w żaden sposób skasowane ani zniszczone (brak procedury Data Sanitization), a znajdowały się na nich pełne bazy danych 12 000 klientów korporacyjnych, umowy agencyjne 2 500 kierowców-kurierów z numerami PESEL i numerami rachunków bankowych oraz kopie zapasowe lokalnych baz aplikacji kurierskiej. Zadanie wymaga analizy załamania kontroli nad łańcuchem utylizacji sprzętu, oceny ryzyka wycieku danych, oceny przesłanek zgłoszenia do Prezesa UODO oraz ewentualnego zawiadomienia kurierów i klientów oraz zaprojektowania rygorystycznej procedury czyszczenia nośników pamięci (kryptograficzne wymazywanie Cryptographic Erase, wielokrotne nadpisywanie lub fizyczna demagnetyzacja/demolka nośników) z certyfikacją każdego egzemplarza.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja niezgodności krytycznej (NC1) w cyklu życia aktywów teleinformatycznych i braków w nadzorze nad utylizacją nośników pamięci.
• U1 Opracowanie zaleceń inżynierskich wdrożenia procedury bezpiecznego usuwania danych zgodnie ze standardem NIST SP 800-88 Rev. 1 (metody: Clear, Purge, Destroy) oraz wzorów protokołów komisyjnego zniszczenia.
• U3 Szacowanie ryzyka niekontrolowanego odczytu danych przez osoby trzecie, nielegalnego obrotu sprzętem na rynku wtórnym i naruszenia tajemnicy przedsiębiorstwa.
• U4 Sporządzenie sprawozdania poaudytowego, przygotowanie projektu zgłoszenia naruszenia do Prezesa UODO i wystąpienie przed audytorium.
• W1 Znajomość wymagań RODO w zakresie bezpieczeństwa nośników fizycznych (art. 32), odpowiedzialności za wybór podwykonawców utylizacyjnych oraz praw pracowników i kontrahentów.
• W2W3 Zrozumienie wytycznych NIST Special Publication 800-88, normy PN-EN ISO/IEC 27001:2022 (kontrole A.8.10 Usuwanie danych, A.8.14 Bezpieczne pozbywanie się lub ponowne użycie sprzętu) oraz wytycznych EROD.
• K1K2K3 Zdolność do krytycznej oceny pozornych procedur likwidacji sprzętu oraz poczucie odpowiedzialności za środowisko i bezpieczeństwo informacji.
• Powiązanie z wykładem: Wyk1 (Audyt w przedsiębiorstwie logistycznym), Wyk2 (Zasady zbierania dowodów z inwentaryzacji sprzętu), Wyk3 (Kontrole A.8.10 i A.8.14 ISO 27001), Wyk4 (RODO i odpowiedzialność za nośniki danych), Wyk5 (Szacowanie ryzyka utraty nośników), Wyk7 (Kwalifikacja niezgodności i procedury likwidacji).

KurierPolska S.A. obsługuje miliony przesyłek miesięcznie i posiada 25 centrów dystrybucyjnych w całej Polsce. W ramach corocznej modernizacji parku komputerowego Dział IT podjął decyzję o wycofaniu 40 laptopów poleasingowych użytkowanych przez dyspozytorów i koordynatorów rejonów doręczeń.

Stan faktyczny w obszarze wycofania sprzętu i incydentu:

• Sprzęt został spakowany do kartonów zbiorczych na palecie w magazynie centralnym w Strykowie i nadany jako przesyłka drobnicowa do firmy recyklingowej 'Eko-Tech', która miała dokonać utylizacji i wystawić Kartę Przekazania Odpadu (KPO).
• W trakcie transportu pomiędzy sortowniami paleta z 40 laptopami zaginęła. Po 14 dniach bezskutecznych poszukiwań wewnątrz własnej sieci logistycznej firma uznała przesyłkę za definitywnie utraconą (prawdopodobna kradzież w magazynie przeładunkowym).
• Audyt doraźny wykazał, że pracownicy Działu IT przed spakowaniem laptopów nie dokonali żadnego czyszczenia nośników danych – ani programowego wymazania, ani demontażu dysków twardych. Na komputerach nie było również wdrożonego szyfrowania dysków BitLocker (brak ochrony danych w spoczynku).
• Laptopy zawierały sprawne dyski SSD i HDD z zainstalowanym systemem Windows oraz lokalnymi plikami: bazą klientów biznesowych (12 000 firm z danymi osób do kontaktu, telefonami i adresami), skanami umów agencyjnych 2 500 kierowców-kurierów (w tym imiona, nazwiska, numery PESEL, adresy zamieszkania, numery dowodów osobistych, numery rachunków bankowych i zaświadczenia o niekaralności) oraz plikami logów z danymi geolokalizacyjnymi tras kurierskich.
• Co więcej, na 6 laptopach znaleziono zapisane w przeglądarkach internetowych hasła do centralnego systemu logistycznego spółki oraz bazy CRM.
• Umowa z firmą utylizacyjną 'Eko-Tech' była zwykłą umową handlową na odbiór złomu elektronicznego i nie zawierała żadnych postanowień dotyczących powierzenia przetwarzania danych (brak umowy DPA w myśl art. 28 RODO) ani wymogów certyfikowanego niszczenia nośników.

Zarząd KurierPolska S.A. powołuje audytorów śledczych w celu ustalenia skali ryzyka, zrealizowania obowiązków wobec UODO i osób poszkodowanych oraz opracowania rygorystycznego standardu wycofywania nośników IT.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Zarządzanie Aktywami IT i Łańcuch Dostaw - analizuje ewidencję środków trwałych, procedury likwidacji sprzętu, umowę z firmą recyklingową oraz koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny i Bezpieczeństwa Nośników Danych - analizuje metody niszczenia danych zgodnie ze standardem NIST SP 800-88 Rev. 1 (Clear vs Purge vs Destroy), porównuje skuteczność programowego nadpisywania (np. DBAN, Blancco) z fizycznym mieleniem/demagnetyzacją (Degaussing) i projektuje architekturę szyfrowania BitLocker TPM.
• Rola 3: Audytor Zgodności Regulacyjnej i Prawnej - ocenia wagę naruszenia danych 2 500 kurierów i 12 000 klientów, bada orzecznictwo Prezesa UODO w sprawach kradzieży sprzętu bez szyfrowania, przygotowuje projekt zgłoszenia naruszenia oraz, jeżeli zachodzą przesłanki art. 34, projekty indywidualnych zawiadomień. W zespole 2-osobowym obowiązki te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na analizie incydentu utraty nieskasowanego sprzętu komputerowego, zbadaniu standardów czyszczenia danych i stworzeniu bezpiecznej procedury ITAD:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada procedury inwentaryzacji i wycofywania sprzętu w spółce. Wskazuje brak nadzoru nad procesem likwidacji oraz brak umowy powierzenia DPA z firmą odbierającą odpady elektroniczne.

  Student 2 (Audytor Techniczny IT): Bada standardy sanityzacji danych (NIST SP 800-88 Rev. 1 / IEEE 2883-2022). Wskazuje, że dyski SSD wymagają innych metod czyszczenia niż dyski talerzowe HDD (ze względu na zjawisko Wear Leveling standardowe nadpisywanie sektorów na SSD jest nieskuteczne; wymagana jest komenda ATA Secure Erase, NVMe Format lub sprzętowe Cryptographic Erase). Projektuje procedurę laboratoryjnego czyszczenia dysków przed opuszczeniem firmy.

  Student 3 (Audytor Prawny / Compliance): Kwalifikuje incydent jako wysokie ryzyko dla kurierów (wyciek PESEL, dowodów osobistych, kont bankowych i zaświadczeń o niekaralności stwarza poważne ryzyko wyłudzenia kredytów i kradzieży tożsamości). Przygotowuje projekt zgłoszenia do UODO w terminie 72 godzin od uzyskania świadomości o naruszeniu, jeżeli zachodzą przesłanki art. 33 ust. 1 RODO, oraz projekt zawiadomienia 2 500 kurierów, jeżeli zachodzą przesłanki art. 34, z instrukcją zastrzeżenia PESEL i monitorowania kont bankowych.

• Krok 2 (Triangulacja dowodów audytowych):

  Powiążcie list przewozowy zaginionej przesyłki, protokół przekazania sprzętu z działu IT, wykaz numerów seryjnych laptopów, brak certyfikatów zniszczenia dysków oraz zapisy w regulaminie pracy IT. Wykażcie lukę proceduralną polegającą na powierzeniu dysków z danymi firmie recyklingowej bez uprzedniej sanityzacji.

• Krok 3 (Kwalifikacja naruszenia i niezgodności):

  Sformułujcie kartę niezgodności krytycznej (NC1) z art. 32 ust. 1 lit. a i b RODO (brak szyfrowania i brak procedur testowania bezpieczeństwa), art. 28 RODO oraz kontrolami ISO 27001:2022 A.8.10 (Usuwanie danych) i A.8.14 (Bezpieczne pozbywanie się sprzętu).

• Krok 4 (Opracowanie koncepcji rozwiązania problemu):

  Zaprojektujcie kompleksowy standard IT Asset Disposal (ITAD):

  1. Obowiązkowe szyfrowanie w całym cyklu życia: wdrożenie centralnie zarządzanego BitLocker (XTS-AES 256-bit) z modułem TPM na docelowo wszystkich stacjach roboczych i laptopach, co chroni dane nawet w przypadku fizycznej utraty komputera.

  2. Procedura Sanityzacji Danych przed wycofaniem: wymóg usunięcia danych wewnątrz organizacji przed fizycznym wydaniem sprzętu na zewnątrz albo zastosowania zatwierdzonej procedury uwzględniającej ryzyko. Zastosowanie certyfikowanego oprogramowania generującego raport z zastosowanej metody, identyfikatorów nośników i wyników weryfikacji zniszczenia (zgodność z NIST 800-88 Purge).

  3. Fizyczne niszczenie nośników uszkodzonych: w przypadku dysków, których nie można wyczyścić programowo – obowiązek fizycznego przewiercenia, zmielenia w niszczarce mechanicznej do cząstek poniżej 2 mm lub komisyjnej demagnetyzacji potwierdzonej protokołem komisyjnym ze zdjęciem zniszczonego nośnika.

  4. Kontrakt z certyfikowanym partnerem ITAD: umowa DPA z firmą posiadającą certyfikaty ISO 27001 i WEEELABEX z zastrzeżeniem obecności audytora zamawiającego przy procesie niszczenia.

• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Skompletujcie raport poaudytowy z projektem procedury wycofywania sprzętu, projektem zgłoszenia do UODO oraz, zależnie od przesłanek art. 34, projektem pisma do kurierów oraz analizą opłacalności zakupu stacjonarnej niszczarki dysków twardych vs. outsourcing ITAD.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie do problematyki wycofywania sprzętu i opis incydentu w KurierPolska S.A. (2 min): Utrata 40 nieskasowanych laptopów w transporcie i kategorie utraconych danych (Student 1).
• Standardy usuwania danych NIST SP 800-88 i specyfika dysków SSD vs. HDD (4 min): Wyjaśnienie metod Clear, Purge, Destroy, specyfika komend ATA/NVMe Secure Erase i demonstracja działania profesjonalnego oprogramowania wymazującego (Student 2).
• Kwalifikacja prawna i analiza ryzyka wycieku danych kurierów (3 min): Zagrożenia kradzieżą tożsamości, ocenę przesłanek zgłoszenia i zawiadomienia na podstawie art. 33 i 34 RODO, kary Prezesa UODO za brak szyfrowania (Student 3 lub Student 1).
• Wzorcowy standard ITAD oraz analiza wad i zalet metod sanityzacji (3 min): Zestawienie kosztów wymazywania programowego vs. fizycznego mielenia dysków, procedury komisyjne (Student 2 i Student 3).
• Podsumowanie, rekomendacje dla branży logistycznej i dyskusja (2 min): Odpowiedzi na pytania (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Na czym polegają różnice pomiędzy poziomami usuwania danych 'Clear', 'Purge' oraz 'Destroy' zdefiniowanymi w standardzie NIST SP 800-88 Rev. 1?
• Dlaczego zwykłe sformatowanie dysku lub usunięcie partycji w systemie operacyjnym nie usuwa danych i dlaczego w przypadku dysków półprzewodnikowych (SSD) tradycyjne programy nadpisujące sektory mogą być zawodne?
• W jaki sposób wdrożenie pełnego szyfrowania dysków (Full Disk Encryption - FDE/BitLocker) wpływa na ocenę ryzyka naruszenia ochrony danych w przypadku kradzieży lub zagubienia laptopa służbowego?

2. Opis stanu faktycznego, wykaz kategorii danych na zaginionych komputerach i analiza łańcucha transportowego.

3. Karta niezgodności audytowej z normą ISO/IEC 27001 (kontrole A.8.10, A.8.14), art. 28, art. 32, art. 33 i art. 34 RODO wraz z wpisem do rejestru naruszeń.

4. Szczegółowe rozwiązanie problemu:

• Procedura bezpiecznego wycofywania i niszczenia nośników danych (Polityka ITAD) z protokołem komisyjnym.
• Wymogi techniczne dla stacji laboratoryjnej do wymazywania dysków zgodnej z NIST SP 800-88.
• Projekt zawiadomienia do Prezesa UODO oraz, jeżeli zachodzą przesłanki art. 34, projekt indywidualnego listu do kierowców-kurierów.

5. Analiza zalet i wad wybranego rozwiązania:

• Zalety: bardzo wysoki poziom ochrony danych, raporty audytowe z identyfikatorami nośników i metodą zniszczenia oraz możliwość udokumentowania zgodności z procedurą, możliwość odzyskania wartości sprzętu przy bezpiecznej odsprzedaży poleasingowej bez dysków.
• Wady/wyzwania: koszt zakupu profesjonalnego oprogramowania lub demagnetyzera, czasochłonność procedury sanityzacji (od kilkudziesięciu minut do kilku godzin na dysk), konieczność prowadzenia skrupulatnej ewidencji magazynowej.

6. Bibliografia, netografia i odnośniki do wytycznych NIST, norm ISO i poradników UODO.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 32 (Bezpieczeństwo przetwarzania - szyfrowanie i poufność), art. 33 (Zgłoszenie do organu), art. 34 (Zawiadomienie osób).
• National Institute of Standards and Technology (NIST): "Guidelines for Media Sanitization", NIST Special Publication 800-88 Revision 1, Gaithersburg 2014.
• Norma IEEE 2883-2022: "IEEE Standard for Sanitizing Storage".
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.8.10 (Usuwanie danych), A.8.14 (Bezpieczne pozbywanie się lub ponowne użycie sprzętu).
• Decyzje Prezesa UODO nakładające kary za utratę nieszyfrowanych nośników i laptopów (m.in. decyzja DKN.5101.19.2020).
• Urząd Ochrony Danych Osobowych: "Bezpieczeństwo nośników teleinformatycznych - wytyczne dla administratorów", Warszawa 2021.

• U2 Identyfikacja luk w procesie wycofywania nośników pamięci i braków szyfrowania FDE.
• U1 Projekt procedury sanityzacji nośników ITAD zgodnej ze standardem NIST SP 800-88.
• U3 Szacowanie ryzyka wycieku danych pracowników i kontrahentów z zagubionego sprzętu.
• U4 Sporządzenie sprawozdania audytowego, projektów powiadomień do UODO i osób poszkodowanych, z uwzględnieniem przesłanek art. 33 i 34 RODO oraz referat.
• W1W2W3 Znajomość standardów NIST, IEEE, norm ISO 27001 oraz przepisów RODO w sferze nośników.
• K1K2K3 Dbałość o bezpieczeństwo zasobów cyfrowych w całym cyklu ich życia i etyka audytorska.

W trakcie wystąpienia seminaryjnego omówcie różnicę pomiędzy demagnetyzacją (Degaussing), która trwale niszczy strukturę dysków magnetycznych HDD, a kryptograficznym wymazywaniem (Cryptographic Erase) stosowanym w nowoczesnych nośnikach półprzewodnikowych NVMe SSD.

Głównym celem zadania jest wykształcenie umiejętności audytowania naruszeń ochrony danych osobowych osób małoletnich (dzieci jako grupy podlegającej szczególnej ochronie na gruncie Motywu 38 RODO) powstałych w wyniku cyberataków socjotechnicznych (phishing / credential harvesting) na chmurowe konta pocztowe. Studenci badają przypadek zespołu szkół niepublicznych, w którym pedagog szkolny padł ofiarą ataku phishingowego (fałszywa strona logowania do usługi Microsoft 365), w wyniku czego napastnik przejął poświadczenia dostępowe i uzyskał pełny dostęp do skrzynki pocztowej oraz dysku OneDrive pedagoga. Na koncie znajdowało się 210 szczegółowych opinii psychologiczno-pedagogicznych, orzeczeń publicznych poradni o potrzebie kształcenia specjalnego dzieci autystycznych i z niepełnosprawnościami intelektualnymi, notatki z wywiadów dotyczących przemocy w rodzinie oraz dane o konfliktach okołorozwodowych rodziców. Zadanie wymaga analizy braku wdrożenia uwierzytelniania wieloskładnikowego (MFA/2FA), oceny ryzyka poważnych skutków psychologicznych i społecznych dla dzieci, procedury oceny przesłanek powiadomienia Prezesa UODO i rodziców (przedstawicieli ustawowych), wdrożenia kluczy sprzętowych U2F/FIDO2 oraz opracowania szkolenia antyphishingowego dla kadry pedagogicznej.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i klasyfikacja niezgodności krytycznej (NC1) polegającej na braku wdrożenia elementarnych środków kontroli dostępu do chmury (brak 2FA/MFA) dla kont przetwarzających dane szczególnych kategorii (art. 9 i art. 32 RODO).
• U1 Opracowanie zaleceń inżynierskich wdrożenia zalecanego, docelowego uwierzytelniania dwuskładnikowego opartego na standardzie FIDO2/WebAuthn oraz polityk dostępu warunkowego (Conditional Access).
• U3 Szacowanie ryzyka naruszenia praw dzieci (ryzyko traumy psychicznej, cyberprzemocy rówieśniczej, dyskryminacji szkolnej i stygmatyzacji).
• U4 Opracowanie raportu powłamaniowego dla organu prowadzącego szkołę, projektu zawiadomienia do Prezesa UODO oraz, jeżeli zachodzą przesłanki art. 34, projektu empatycznego komunikatu do rodziców poszkodowanych uczniów.
• W1 Znajomość przepisów Prawa oświatowego, Karty Nauczyciela, RODO (w tym szczególnej ochrony dzieci - Motyw 38) oraz orzecznictwa UODO w sektorze edukacji.
• W2W3 Zrozumienie wytycznych EROD w sprawie naruszeń w edukacji, normy PN-EN ISO/IEC 27001:2022 (kontrole A.5.10 Poprawne korzystanie z informacji, A.8.5 Bezpieczne uwierzytelnianie) oraz wytycznych CSIRT NASK.
• K1K2K3 Najwyższy poziom empatii, wrażliwości etycznej na dobro dziecka, dyskrecji zawodowej i rzetelności audytorskiej.
• Powiązanie z wykładem: Wyk1 (Audyt w oświacie i instytucjach publicznych), Wyk2 (Zasady audytowania chmury edukacyjnej), Wyk3 (Kontrola A.8.5 Bezpieczne uwierzytelnianie ISO 27001), Wyk4 (RODO i ochrona danych dzieci), Wyk5 (Szacowanie szkód niematerialnych i psychologicznych), Wyk6 (Analiza logów logowań chmurowych Azure AD), Wyk7 (Niezgodności krytyczne i plany naprawcze).

Zespół Szkół Niepublicznych 'Edukacja Przyszłości' w Toruniu obejmuje szkołę podstawową oraz liceum, kształcąc 650 uczniów. Szkoła korzysta ze środowiska chmurowego Microsoft 365 for Education, w ramach którego każdy nauczyciel i pracownik pedagogiczny posiada konto pocztowe w domenie @edukacjaprzyszlosci.torun.pl.

Stan faktyczny w obszarze ataku phishingowego i incydentu:

• Pedagog szkolny otrzymał wiadomość e-mail rzekomo pochodzącą od administratora platformy e-dziennika z pilnym wezwaniem do zaktualizowania certyfikatu bezpieczeństwa poprzez kliknięcie linku https://logowanie-edziennik.edu-portal.pl/login.
• Pedagog, nie weryfikując adresu nadawcy ani domeny docelowej, wszedł na fałszywą stronę logowania i wpisał swój login oraz hasło do konta szkolnego.
• Szkoła nie miała wdrożonego mechanizmu uwierzytelniania dwuskładnikowego (2FA/MFA) dla pracowników pedagogicznych – dyrekcja uznawała, że wpisywanie kodów z aplikacji lub SMS-ów jest 'zbyt skomplikowane i uciążliwe dla nauczycieli'.
• Cyberprzestępcy natychmiast zalogowali się na konto pedagoga z adresu IP zlokalizowanego w Nigerii, pobrali całą zawartość skrzynki pocztowej z ostatnich 3 lat oraz zawartość folderu 'Opinie i orzeczenia' z dysku OneDrive.
• Przejęte dane obejmowały 210 uczniów i zawierały: pełne opinie poradni psychologiczno-pedagogicznych, diagnozy spektrum autyzmu, ADHD, depresji dziecięcej i prób samobójczych, orzeczenia o potrzebie kształcenia specjalnego, protokoły rozmów z rodzicami na temat przemocy domowej, alkoholizmu w rodzinie oraz toczących się spraw o odebranie praw rodzicielskich.
• Atak został zauważony dopiero po 6 dniach, gdy z konta pedagoga zaczęto rozsyłać tysiące wiadomości spamowych i phishingowych do innych placówek oświatowych w województwie, co doprowadziło do zablokowania domeny szkoły na czarnych listach antyspamowych (RBL).
• W szkole nie prowadzono żadnych szkoleń z rozpoznawania ataków phishingowych, polityka haseł wymagała zmiany hasła co 30 dni (co skutkowało tworzeniem haseł typu Wiosna2024!, Lato2024!), a w logach Entra ID (Azure AD) administratorzy nie włączyli geolokalizacyjnych alertów niemożliwych podróży (Impossible Travel Alert).

Dyrektor szkoły powołuje niezależny zespół audytorski w celu zbadania incydentu, sporządzenia raportu dla Prezesa UODO i Kuratorium Oświaty oraz opracowania strategii bezpieczeństwa tożsamości.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Ochrona Danych w Oświacie i Etyka - bada procedury ochrony danych uczniów w szkole, regulamin korzystania z chmury edukacyjnej, wywiady z dyrekcją i pedagogiem oraz koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny i Bezpieczeństwa Tożsamości Chmurowej - analizuje logi logowań Microsoft Entra ID (Azure AD Sign-in Logs), dekonstruuje wektor ataku typu Credential Harvesting, konfiguruje reguły dostępu warunkowego (Conditional Access) oraz projektuje wdrożenie uwierzytelniania MFA i kluczy FIDO2/Passkeys.
• Rola 3: Audytor Zgodności Prawnej i Praw Dziecka - dokonuje kwalifikacji prawnej wycieku danych szczególnych kategorii dzieci (art. 9 RODO, Motyw 38), szacuje ryzyko poważnych szkód psychologicznych, przygotowuje projekt zgłoszenia do Prezesa UODO oraz, jeżeli zachodzą przesłanki art. 34, projekt delikatnego i profesjonalnego komunikatu dla rodziców poszkodowanych uczniów. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na zbadaniu ataku socjotechnicznego na konto pracownika oświaty, analizie logów chmurowych i wdrożeniu odpornego modelu uwierzytelniania:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada organizację ochrony danych w szkole. Ustala, dlaczego dane wrażliwe były przechowywane w skrzynce e-mail i dysku chmurowym bez szyfrowania na poziomie plików, analizuje brak szkoleń kadry pedagogicznej.

  Student 2 (Audytor Techniczny IT): Analizuje logi logowania w konsoli administracyjnej Microsoft Entra ID. Wskazuje bezpośrednie logowanie z obcego kraju (anomalia IP/Geolokalizacji), które przy włączonym MFA lub polityce blokady logowań zgodnie z ryzykiem zostałoby natychmiast zablokowane. Projektuje wdrożenie bezhasłowego uwierzytelniania FIDO2 lub aplikacji Microsoft Authenticator z wymuszeniem 'Number Matching' (ochrona przed zmęczeniem powiadomieniami MFA Fatigue).

  Student 3 (Audytor Prawny / Etyka): Kwalifikuje ryzyko jako wysokie, z zastrzeżeniem udokumentowania przesłanek: ujawnienie prób samobójczych i diagnoz psychiatrycznych może rodzić poważne ryzyko załamania psychicznego dziecka, prześladowania w szkole i na forach internetowych. Przygotowuje projekt zawiadomienia do Prezesa UODO w terminie 72 godzin od uzyskania świadomości o naruszeniu, jeżeli zachodzą przesłanki art. 33 ust. 1 RODO, oraz ocenę przesłanek ewentualnego zawiadomienia rodziców w trybie art. 34 RODO wraz z zapewnieniem wsparcia psychologicznego i prawnego ze strony szkoły.

• Krok 2 (Triangulacja dowodów audytowych):

  Zestawcie treść wiadomości phishingowej, logi logowania z zagranicznego adresu IP w Azure AD, wykaz zsynchronizowanych plików z usługi OneDrive pedagoga oraz brak wpisów o szkoleniach w aktach osobowych pracownika.

• Krok 3 (Kwalifikacja naruszenia i niezgodności):

  Sformułujcie kartę niezgodności krytycznej (NC1) z art. 9 RODO, art. 32 ust. 1 lit. b RODO (brak zapewnienia poufności systemów) oraz kontrolami ISO 27001:2022 A.8.5 (Bezpieczne uwierzytelnianie) i A.5.10 (Poprawne korzystanie z informacji).

• Krok 4 (Opracowanie koncepcji rozwiązania problemu):

  Zaprojektujcie kompleksowy program podniesienia cyberodporności placówki oświatowej:

  1. Środki techniczne tożsamości: wdrożenie wieloskładnikowego uwierzytelniania (MFA) dla wszystkich pracowników objętych polityką; wdrożenie polityk Conditional Access (blokada logowań zgodnie z polityką ryzyka, z uwzględnieniem uzasadnionych wyjątków, wymóg urządzenia zgodnego z Intune); wyposażenie pedagogów i psychologów w fizyczne klucze U2F (np. YubiKey).

  2. Bezpieczeństwo danych wrażliwych (Information Protection): wdrożenie etykietowania i szyfrowania dokumentów wrażliwych (Microsoft Purview Information Protection) – zablokowanie możliwości otwarcia pliku orzeczenia psychologicznego poza środowiskiem szkolnym.

  3. Program budowy świadomości (Security Awareness): cykliczne warsztaty dla nauczycieli z rozpoznawania phishingu i socjotechniki, kontrolowane symulacje ataków phishingowych oraz procedura czyszczenia skrzynek pocztowych z dokumentów wrażliwych.

• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Sformułujcie raport poaudytowy z analizą wektora ataku, projekt zawiadomienia do Prezesa UODO oraz, jeżeli zachodzą przesłanki art. 34, projekt listu do rodziców z poszanowaniem ich godności i prywatności oraz analizę wad i zalet wprowadzenia kluczy sprzętowych w edukacji.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Przedstawienie specyfiki ochrony danych dzieci w szkole i opis incydentu phishingowego (2 min): Wrażliwość danych poradni psychologicznych, wektor przejęcia hasła pedagoga (Student 1).
• Analiza techniczna ataku i logów chmurowych Microsoft Entra ID (4 min): Dlaczego same hasła są nieskuteczne, podatność na phishing stron podrabianych, mechanizm kluczy FIDO2/WebAuthn odpornych na phishing (Student 2).
• Kwalifikacja prawna: szczególny status danych dzieci w RODO i szkody niematerialne (3 min): Motyw 38 RODO, poważne skutki wycieku, zawiadomienie UODO i empatyczna komunikacja z rodzicami (Student 3 lub Student 1).
• Plan podniesienia cyberodporności szkoły i analiza wad oraz zalet (3 min): Wdrożenie MFA, koszty kluczy YubiKey, szkolenia nauczycieli vs. wygoda (Student 2 i Student 3).
• Podsumowanie, wnioski dla sektora edukacji i dyskusja z salą (2 min): Odpowiedzi na pytania (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Dlaczego dane osobowe dzieci i osób małoletnich podlegają szczególnej ochronie w świetle Motywu 38 RODO i jak ta okoliczność wpływa na ocenę wagi naruszenia przez Prezesa UODO?
• Czym różni się standardowe uwierzytelnianie dwuskładnikowe SMS/aplikacja OTP od sprzętowych kluczy FIDO2/U2F pod kątem podatności na ataki typu Phishing w czasie rzeczywistym (Adversary-in-the-Middle - AitM)?
• Jakie działania osłonowe i wspierające placówka oświatowa ma obowiązek podjąć wobec rodziców i uczniów, których orzeczenia o niepełnosprawności i terapii psychologicznej wyciekły do internetu?

2. Opis przebiegu incydentu, analiza wektora socjotechnicznego i chronologia działań wyjaśniających.

3. Karta niezgodności audytowej z normą ISO/IEC 27001 (kontrole A.5.10, A.8.5), art. 9, art. 32, art. 33 i art. 34 RODO wraz z wpisem do rejestru naruszeń.

4. Szczegółowe rozwiązanie problemu:

• Projekt techniczny wdrożenia uwierzytelniania MFA i polityk Conditional Access w środowisku edukacyjnym.
• Wdrożenie klasyfikacji i etykietowania dokumentów wrażliwych z szyfrowaniem praw dostępu.
• Projekt zgłoszenia do Prezesa UODO oraz, jeżeli zachodzą przesłanki art. 34, projekt zawiadomienia rodziców poszkodowanych uczniów.

5. Analiza zalet i wad wybranego rozwiązania:

• Zalety: znaczące utrudnienie przejęcia konta za pomocą phishingu przy użyciu kluczy FIDO2, jeżeli zabezpieczenia są wdrożone prawidłowo, ochrona intymności i zdrowia psychicznego uczniów, zgodność z wytycznymi UODO i standardami ISO 27001.
• Wady/wyzwania: opór kadry pedagogicznej przed nowymi technologiami uwierzytelniania, koszt zakupu kluczy sprzętowych, ryzyko zgubienia klucza przez nauczyciela i konieczność procedury zapasowej.

6. Bibliografia, netografia i odnośniki do poradników UODO dla szkół, wytycznych EROD i materiałów CERT Polska.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - Motyw 38 (Szczególna ochrona danych dzieci), art. 9 (Dane szczególnych kategorii), art. 32 (Bezpieczeństwo przetwarzania - uwierzytelnianie), art. 33, art. 34.
• Ustawa z dnia 14 grudnia 2016 r. - Prawo oświatowe (Dz.U. z 2023 r. poz. 900 z późn. zm.) - przepisy o dokumentacji przebiegu nauczania i pomocy psychologiczno-pedagogicznej.
• Urząd Ochrony Danych Osobowych: "Ochrona danych osobowych w szkołach i placówkach oświatowych - poradnik", Warszawa 2020.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.10 (Poprawne korzystanie z informacji), A.8.5 (Bezpieczne uwierzytelnianie).
• Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego CSIRT NASK / CERT Polska: "Krajobraz bezpieczeństwa polskiego internetu - ataki phishingowe i ochrona tożsamości", Warszawa 2023.
• Europejska Rada Ochrony Danych (EROD): "Wytyczne 9/2022 w sprawie zgłaszania naruszeń ochrony danych", 2023.

• U2 Prawidłowa kwalifikacja podatności braku MFA i wycieku danych wrażliwych dzieci.
• U1 Projekt architektury uwierzytelniania wieloskładnikowego odpornego na phishing (FIDO2) w chmurze oświatowej.
• U3 Szacowanie niematerialnych i psychologicznych szkód naruszenia prywatności małoletnich.
• U4 Przygotowanie raportu powłamaniowego, projektów zawiadomień do UODO i rodziców, z uwzględnieniem przesłanek art. 33 i 34 RODO, oraz prezentacja na seminarium.
• W1W2W3 Znajomość Prawa oświatowego, Motywu 38 RODO, wytycznych EROD i normy ISO 27001.
• K1K2K3 Najwyższy poziom empatii i etyki w kontakcie z poszkodowanymi rodzinami i dziećmi.

W trakcie wystąpienia seminaryjnego zademonstrujcie na schemacie różnicę pomiędzy atakiem phishingowym przechwytującym jednorazowy kod SMS a technologią kryptograficzną klucza FIDO2 powiązaną kryptograficznie z domeną serwera (Origin Binding).

Celem zadania jest opanowanie umiejętności badania zgodności z prawem zaawansowanych technologii identyfikacji tożsamości, ze szczególnym uwzględnieniem danych biometrycznych (art. 9 ust. 1 i art. 4 pkt 14 RODO), wymogu dobrowolności zgody (art. 7 RODO) oraz oceny wymogu przeprowadzenia Oceny Skutków dla Ochrony Danych (Data Protection Impact Assessment - DPIA) na mocy art. 35 RODO. Studenci analizują studium przypadku ogólnopolskiej sieci 30 klubów fitness, w której wprowadzono kontrolę dostępu przez bramki kołowrotowe oparte wyłącznie na skanerach linii papilarnych palców klientów (szablony biometryczne - minutiae template). Klienci nie mieli możliwości wyboru alternatywnej metody wejścia (karty RFID lub aplikacji), a w regulaminie zastrzeżono, że odmowa skanowania biometrii uniemożliwia zawarcie umowy karnetowej. Dodatkowo w wyniku luki bezpieczeństwa w panelu webowym dostawcy systemu kontroli dostępu doszło do wycieku bazy danych zawierającej 52 000 wzorców biometrycznych powiązanych z imionami, nazwiskami i numerami telefonów klientów. Zadanie wymaga oceny przesłanek legalności przetwarzania biometrii w świetle orzecznictwa Prezesa UODO i TSUE, audytu oceny, czy DPIA jest wymagana, zbadania skutków poważnego ryzyka związanego z ujawnieniem szablonów biometrycznych, zgłoszenia naruszenia do organu nadzorczego oraz zaprojektowania natychmiastowego wycofania biometrii na rzecz bezpiecznych kart zbliżeniowych.

Powiązanie z sylabusem i treściami programowymi:

• U2 Identyfikacja i klasyfikacja niezgodności krytycznej (NC1) w zakresie przetwarzania danych szczególnych kategorii bez ważnej podstawy prawnej (art. 9 ust. 2 lit. a RODO) oraz zaniechania oceny, czy DPIA jest wymagana (art. 35 RODO).
• U1 Opracowanie projektu procedury wycofania technologii biometrycznej, trwałego zniszczenia wzorców biometrycznych oraz wdrożenia alternatywnego systemu kontroli dostępu opartego na kartach RFID Mifare DESFire.
• U3 Szacowanie poważnego ryzyka związanego z nieodwracalnością cech biometrycznych (biometria jest cechą niezmienną człowieka – raz skradzionego szablonu odcisku palca nie da się 'zmienić' jak hasła).
• U4 Sporządzenie kompleksowego raportu z audytu zgodności technologii biometrycznej, projektu zgłoszenia naruszenia do Prezesa UODO oraz wystąpienie seminaryjne.
• W1 Znajomość przepisów RODO dotyczących biometrii (art. 4 pkt 14, art. 9), warunków ważności zgody (art. 7), zasad proporcjonalności i minimalizacji danych (art. 5 ust. 1 lit. c).
• W2W3 Zrozumienie Wytycznych EROD 3/2019 w sprawie przetwarzania danych poprzez urządzenia wideo i biometrię, decyzji Prezesa UODO nakładających wielomilionowe kary za wymuszanie biometrii oraz normy PN-EN ISO/IEC 27001:2022 (A.8.2 Rozsądny dostęp, A.5.34 Prywatność i ochrona danych osobowych).
• K1K2K3 Zrozumienie etycznych granic stosowania nowoczesnych technologii inwigilacyjnych i kontrolnych oraz odwaga audytorska w kwestionowaniu praktyk biznesowych mogących naruszać RODO.
• Powiązanie z wykładem: Wyk1 (Audyt innowacyjnych technologii i biometrii), Wyk2 (Zasady audytowania zgodności prawnej), Wyk3 (Kontrola A.5.34 ISO 27001), Wyk4 (RODO art. 9 i art. 35 DPIA), Wyk5 (Szacowanie ryzyka nieodwracalnej utraty danych), Wyk7 (Niezgodności krytyczne, kary administracyjne i zalecenia).

FitZone Polska Sp. z o.o. zarządza siecią 30 nowoczesnych klubów fitness i siłowni w największych miastach Polski, zrzeszając ponad 52 000 aktywnych klubowiczów. W celu wyeliminowania zjawiska przekazywania kart członkowskich osobom trzecim Zarząd spółki podjął decyzję o zainstalowaniu na bramkach wejściowych biometrycznych czytników linii papilarnych.

Stan faktyczny w obszarze wdrożenia biometrii i incydentu:

• Podczas podpisywania umowy klubowej każdy klient był zobowiązany do przyłożenia palca do czytnika biometrycznego w recepcji. System przekształcał obraz linii papilarnych na cyfrowy szablon matematyczny (tzw. Biometric Template).
• W regulaminie klubu wpisano klauzulę: 'Klient wyraża zgodę na przetwarzanie danych biometrycznych w celu weryfikacji tożsamości przy wejściu do klubu. Wyrażenie zgody jest warunkiem koniecznym do korzystania z usług klubu'. Klientom, którzy odmawiali podania odcisku palca, odmawiano sprzedaży karnetu (brak jakiejkolwiek metody alternatywnej).
• Spółka przed wdrożeniem systemu nie przeprowadziła Oceny Skutków dla Ochrony Danych (DPIA), której wymaganie należy ocenić na podstawie art. 35 ust. 1 oraz, jeżeli zachodzą przesłanki, art. 35 ust. 3 RODO, uznając, że 'skoro klient podpisuje umowę, to wie na co się godzi'.
• Szablony biometryczne 52 000 klientów wraz z ich numerami telefonów, adresami e-mail i historią wejść były składowane w centralnej bazie danych dostawcy oprogramowania kontroli dostępu 'GymAccess Cloud'.
• W panelu administracyjnym aplikacji webowej dostawcy wykryto krytyczną lukę Broken Access Control / IDOR, która umożliwiła nieautoryzowanemu użytkownikowi z zewnątrz wyeksportowanie całej bazy danych szablonów biometrycznych w otwartym formacie JSON.
• Wyciek został ujawniony publicznie przez badacza bezpieczeństwa na platformie X (dawniej Twitter), co wywołało falę paniki wśród klientów obawiających się wykorzystania ich cech biometrycznych do autoryzacji w bankach lub urządzeniach mobilnych.
• Zarząd FitZone Polska powołuje zespół audytorów bezpieczeństwa informacji w celu przeprowadzenia audytu prawnego i technicznego, zgłoszenia incydentu do organu nadzorczego oraz opracowania planu wyjścia z kryzysu.

W skład zespołu wchodzą studenci realizujący następujące role:

• Rola 1: Audytor Wiodący / Governance i Zgodność Produktowa - bada procedury zawierania umów z klientami, regulamin klubów, legalność wymuszenia zgody w świetle art. 7 i 9 RODO oraz koordynuje strukturę referatu.
• Rola 2: Audytor Techniczny ds. Biometrii i Kontroli Dostępu - bada architekturę przechowywania szablonów biometrycznych, analizuje lukę w aplikacji dostawcy 'GymAccess Cloud', weryfikuje, czy DPIA jest wymagana, i dokumentuje stan jej przeprowadzenia oraz projektuje wymianę infrastruktury czytników na bezpieczne karty RFID Mifare DESFire EV3.
• Rola 3: Audytor Zgodności Regulacyjnej i Prawnej - dokonuje kwalifikacji prawnej naruszenia (art. 9, art. 35, art. 32 RODO), analizuje orzecznictwo Prezesa UODO (decyzje o karach za biometrię w szkołach i firmach), przygotowuje projekt zgłoszenia do UODO oraz, jeżeli zachodzą przesłanki art. 34, projekt zawiadomienia 52 000 klientów. W zespole 2-osobowym zadania te dzielą Studenci 1 i 2.

Praca w zespole 2-3 osobowym polega na kompleksowej ocenie legalności wdrożenia biometrii, analizie wycieku szablonów i opracowaniu planu wycofania technologii:

• Krok 1 (Podział ról w grupie audytowej):

  Student 1 (Audytor Wiodący): Bada zgodność z prawem podstawy przetwarzania danych biometrycznych. Wykazuje, że zgoda warunkująca wykonanie usługi nie jest dobrowolna w myśl art. 7 ust. 4 RODO (tzw. zakaz wiązania / zgoda wymuszona), co powoduje, że przetwarzanie danych wymagało oceny podstawy z art. 9 ust. 2 RODO, w tym art. 9 ust. 2 lit. a, oraz wykazania jej zgodności z RODO.

  Student 2 (Audytor Techniczny IT): Analizuje naturę szablonu biometrycznego. Obala mit, że 'szablon matematyczny to nie dane osobowe' – zgodnie z orzecznictwem szablon umożliwia jednoznaczną identyfikację człowieka i podlega reżimowi art. 9 RODO. Projektuje procedurę bezpiecznego i trwałego skasowania (Wipe) wszystkich baz danych szablonów oraz zastąpienie czytników biometrycznych szyfrowanymi kartami zbliżeniowymi RFID lub kodami QR generowanymi dynamicznie w aplikacji mobilnej.

  Student 3 (Audytor Prawny / Compliance): wstępnie kwalifikuje ryzyko jako wysokie, z zastrzeżeniem udokumentowania przesłanek tej oceny: ujawnienie danych biometrycznych może powodować poważne, trudne do odwrócenia skutki (człowiek nie może zmienić swoich linii papilarnych). Wskazuje na potrzebę oceny, czy zachodzą przesłanki przeprowadzenia DPIA na podstawie art. 35 RODO, jeżeli zachodzą przesłanki z art. 35 RODO. Przygotowuje projekt zgłoszenia do Prezesa UODO w terminie 72 godzin od uzyskania świadomości o naruszeniu, jeżeli zachodzą przesłanki art. 33 ust. 1 RODO, oraz, jeżeli zachodzą przesłanki art. 34, projekt zawiadomienia 52 000 klientów.

• Krok 2 (Triangulacja dowodów audytowych):

  Zestawcie treść regulaminu klubu i formularza umowy z wymuszoną zgodą, brak dokumentu oceny, czy DPIA jest wymagana, oraz ewentualnej DPIA w rejestrze IOD, zrzut bazy szablonów opublikowany w sieci oraz umowę z dostawcą oprogramowania 'GymAccess Cloud'. Wykażcie kumulację naruszeń zasady legalizmu, minimalizacji i bezpieczeństwa.

• Krok 3 (Kwalifikacja naruszenia i niezgodności):

  Sformułujcie kartę niezgodności krytycznej (NC1) z art. 9 ust. 1 i 2 RODO (przetwarzanie danych biometrycznych o potencjalnie nielegalnym charakterze), art. 35 RODO (ocena wymogu DPIA), art. 32 RODO (brak odpowiednich zabezpieczeń) oraz kontrolą ISO 27001:2022 A.5.34 (Ochrona danych osobowych).

• Krok 4 (Opracowanie koncepcji rozwiązania problemu):

  Zaprojektujcie trójfazowy plan likwidacji naruszenia:

  1. Faza natychmiastowa: wyłączenie czytników biometrycznych na bramkach i otwarcie bramek dla weryfikacji ręcznej przez recepcję; pilne zabezpieczenie sprawy oraz ocena przesłanek zawiadomienia Prezesa UODO i klientów.

  2. Faza trwałego zniszczenia danych biometrycznych: komisyjne usunięcie i nadpisanie wszystkich baz danych zawierających szablony biometryczne zarówno w chmurze dostawcy, jak i w pamięci lokalnej czytników, potwierdzone niezależnym protokołem audytu technicznego.

  3. Faza wdrożenia metody alternatywnej: montaż czytników kart zbliżeniowych w standardzie RFID Mifare DESFire EV3 z szyfrowaniem AES-128 lub wdrożenie weryfikacji tożsamości przez dynamiczny kod QR w aplikacji mobilnej klienta (zmieniający się co 15 sekund). Przeprowadzenie pełnej analizy DPIA przed uruchomieniem nowego systemu.

• Krok 5 (Przygotowanie referatu i dokumentacji poaudytowej):

  Skompletujcie raport poaudytowy z analizą orzecznictwa UODO w sprawach biometrii, projektem zgłoszenia naruszenia oraz, jeżeli zachodzą przesłanki art. 34, projektem komunikatu do klubowiczów oraz analizą wad i zalet kart zbliżeniowych vs. aplikacji mobilnej.

Plan prezentacji referatu seminaryjnego (10-15 minut):

• Wprowadzenie do problematyki biometrii w usługach konsumenckich i opis incydentu w FitZone (2 min): Przedstawienie stanu faktycznego, czytniki linii papilarnych i skala wycieku (Student 1).
• Analiza techniczna danych biometrycznych i podatności chmury dostawcy (4 min): Czym jest szablon biometryczny, luka IDOR w aplikacji GymAccess Cloud, alternatywne technologie RFID Mifare DESFire EV3 i dynamiczne kody QR (Student 2).
• Kwalifikacja prawna: dlaczego należy ocenić skuteczność zgody na biometrię; przy braku alternatywy może być ona nieważna (3 min): Naruszenie art. 9 i art. 7 ust. 4 RODO, brak oceny, czy DPIA jest wymagana (art. 35), poważne ryzyko związane z nieodwracalnością cech biometrycznych i zgłoszenie do UODO (Student 3 lub Student 1).
• Plan wyjścia z kryzysu, protokół zniszczenia szablonów i analiza wad i zalet (3 min): Zestawienie kosztów wymiany bramek, koszty kart RFID vs. aplikacja mobilna (Student 2 i Student 3).
• Podsumowanie, rekomendacje dla przedsiębiorstw i dyskusja z salą (2 min): Odpowiedzi na pytania słuchaczy (cały zespół).

Wymagana treść pisemnego raportu i referatu studenckiego:

1. Odpowiedzi na pytania problemowe:

• Dlaczego uzależnienie zawarcia umowy o świadczenie usług (np. karnetu na siłownię) od wyrażenia zgody na pobranie danych biometrycznych narusza warunek dobrowolności zgody z art. 7 ust. 4 RODO?
• Czym jest szablon biometryczny (Biometric Template) i dlaczego traktowanie go przez administratorów jako 'bezpiecznego skrótu niebędącego daną osobową' jest rażącym błędem prawnym i technicznym?
• W jakich sytuacjach przeprowadzenie Oceny Skutków dla Ochrony Danych (DPIA na mocy art. 35 RODO) jest obligatoryjne przed wdrożeniem nowych technologii przetwarzania danych?

2. Opis stanu faktycznego, wykaz naruszonych przepisów i przebieg kompromitacji bazy szablonów biometrycznych.

3. Karta niezgodności audytowej z normą ISO/IEC 27001 (kontrole A.5.34, A.8.2), art. 9, art. 32, art. 35 RODO wraz z wpisem do rejestru naruszeń.

4. Szczegółowe rozwiązanie problemu:

• Plan wycofania czytników biometrycznych i specyfikacja wdrożenia kart zbliżeniowych RFID Mifare DESFire EV3.
• Protokół komisyjnego, nieodwracalnego usunięcia szablonów biometrycznych z serwerów i urządzeń bramek.
• Projekt zawiadomienia do Prezesa UODO oraz, jeżeli zachodzą przesłanki art. 34, projekt indywidualnego komunikatu do 52 000 klubowiczów.

5. Analiza zalet i wad wybranego rozwiązania:

• Zalety: poprawa zgodności z RODO i uwzględnienie orzecznictwa UODO, zmniejszenie ryzyka naruszeń i związanych z nimi konsekwencji, odbudowa zaufania konsumentów, bezpieczna identyfikacja za pomocą nowoczesnych kart RFID.
• Wady/wyzwania: wysoki koszt wymiany czytników biometrycznych na czytniki RFID na 120 bramkach kołowrotowych, koszt zakupu i wydania 52 000 kart zbliżeniowych, ryzyko przekazywania kart pomiędzy znajomymi (wymóg kontroli wyrywkowej ze zdjęciem).

6. Bibliografia, netografia i odnośniki do decyzji Prezesa UODO ws. biometrii, wytycznych EROD i normy ISO 27001.

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) - art. 4 pkt 14 (Definicja danych biometrycznych), art. 7 ust. 4 (Warunki wyrażenia zgody - zakaz powiązania), art. 9 (Przetwarzanie szczególnych kategorii danych), art. 35 (Ocena skutków dla ochrony danych - DPIA).
• Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia 18 lutego 2020 r. nakładająca karę za przetwarzanie danych biometrycznych dzieci (sygn. ZSZZS.440.768.2018).
• Europejska Rada Ochrony Danych (EROD): "Wytyczne 3/2019 w sprawie przetwarzania danych osobowych przez urządzenia wideo", Bruksela 2020 (Sekcja dotycząca przetwarzania danych biometrycznych).
• Komunikat Prezesa Urzędu Ochrony Danych Osobowych w sprawie stosowania biometrii w kontroli dostępu, Warszawa 2021.
• Norma PN-EN ISO/IEC 27001:2022: Załącznik A - kontrole A.5.34 (Prywatność i ochrona danych osobowych), A.8.2 (Prawa dostępu uprzywilejowanego), A.8.3 (Ograniczenie dostępu do informacji).
• Wyrok Europejskiego Trybunału Praw Człowieka w sprawie S. i Marper przeciwko Wielkiej Brytanii (skargi nr 30562/04 i 30566/04) dotyczący ochrony danych biometrycznych.

• U2 Prawidłowa identyfikacja przetwarzania danych biometrycznych o potencjalnie nielegalnym charakterze i braku oceny, czy DPIA jest wymagana.
• U1 Projekt procedury wycofania technologii biometrycznej i wdrożenia bezpiecznych kart RFID.
• U3 Szacowanie poważnego ryzyka związanego z nieodwracalnością cech biometrycznych po ujawnieniu danych biometrycznych.
• U4 Opracowanie formalnego raportu poaudytowego, projektów zawiadomień do UODO i klientów, z uwzględnieniem przesłanek art. 33 i 34 RODO, oraz referatu.
• W1W2W3 Znajomość przepisów RODO dotyczących biometrii, orzecznictwa UODO i norm ISO 27001.
• K1K2K3 Wrażliwość na etyczne granice stosowania technologii biometrycznych i poszanowanie praw człowieka.

W wystąpieniu seminaryjnym wyjaśnijcie różnicę pomiędzy identyfikacją biometryczną (porównanie 'jeden do wielu' - 1:N) a weryfikacją biometryczną (porównanie 'jeden do jednego' - 1:1) oraz uzasadnijcie, czy centralne przechowywanie bazy odcisków palców klientów jest konieczne, proporcjonalne i uzasadnione.