Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia 23 marca 2022 r., sygn. DKE.561.3.2022

Na podstawie art. 105 § l Ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 ze zm.) w związku z art. 7 ust. 1 i 2 oraz art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), a także na podstawie art. 58 ust. 1 lit. e) rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23.05.2018, str.2, oraz w Dz. Urz. UE L 74 z 04.03.2021, str. 35), po przeprowadzeniu postępowania administracyjnego w przedmiocie nałożenia administracyjnej kary pieniężnej na O. Sp. z o.o., Prezes Urzędu Ochrony Danych Osobowych

 umarza postępowanie.

UZASADNIENIE

Stan faktyczny

1. W związku z dokonanym […] lipca 2021 r. przez O. Sp. z o.o. (zwaną dalej „Spółką”), zgłoszeniem naruszenia ochrony danych osobowych polegającego na nieautoryzowanym dostępie do systemu informatycznego Spółki, Prezes Urzędu Ochrony Danych Osobowych (zwany dalej „Prezesem UODO”) wszczął postępowanie administracyjne o sygn. […] mające na celu wyjaśnienie okoliczności zgłoszonego przez Spółkę naruszenia.
2. W ramach wyżej wskazanego postępowania Prezes UODO zwrócił się do Spółki – pismem z […] sierpnia 2021 r. – z wezwaniem do udzielenia odpowiedzi na poniższe pytania oraz przedstawienia niżej wskazanych dokumentów:
    
   • „Czy skuteczność stosowanych środków technicznych mających zapewnić bezpieczeństwo przetwarzania była regularnie testowana, mierzona oraz oceniana? Jeśli tak, to proszę przedstawić dowody zarówno na przeprowadzanie takich testów przed wystąpieniem naruszenia, jak i po naruszeniu (np. testy penetracyjne).
   • Czy zostały opracowane procedury dotyczące autoryzacji użytkowników oraz nadawania im odpowiednich uprawnień (np. dotyczące parametrów haseł, ich złożoności, polityka nadawania identyfikatorów).