Oceń wpis  oddane głosy: 2 / 0

Nigdy nie sądziłem, że przyjdzie mi tu pisać o Politechnice Wrocławskiej w takim kontekście: wskutek zaniedbań w zabezpieczeniach systemu e-dziekanat powstał przemknął serwis, w którym można było oceniać losowo zestawione zdjęcia studentek tej uczelni (ponoć od czegoś podobnego zaczynał kiedyś twórca Facebooka -- nie wiem, nie znam się, nie interesuje mnie to).

O aspektach technicznych sprawy więcej pisze Niebezpiecznik w tekście "FaceMash, czyli wyciek danych z Politechniki Wrocławskiej" -- wydaje mi się, że ciekawe jest to, że nie doszło do skopiowania zbioru, lecz ów "rozrywkowy" serwis czerpał pliki ze zdjęciami na bieżąco, a więc cały czas miał nieskrępowany dostęp do bazy Politechniki (e-dziekanat to dziecko... Sygnity! -- co za wstyd...) -- mnie jednak, rzecz jasna, bardziej interesuje aspekt prawny zdarzenia.

Oto dowiadujemy się, że PWr -- oprócz tego, że pracownicy próbowali namierzyć osobę, która "wykorzystała lukę w systemie" (ba, do mnie nawet doszły plotki, że nie mogąc poradzić sobie z wyciekiem danych posłużyli się... atakiem DDoS...) -- rozważa powiadomienie prokuratury o "wykradzeniu" zdjęć.
Gdybym był żakiem na tej uczelni pomyślałbym, że to uroczo z ich strony -- faktycznie może i warto zbadać czy nie doszło do naruszenia przepisów o ochronie danych osobowych (chociaż jeśli po stronie FaceMashPWR nie doszło do powstania zbioru, nie można twórcom serwisu stawiać zarzutów z art. 49 ust. 1 UoODO!), no i mamy uroczy przepis penalizujący nieautoryzowany dostęp do informacji, nawet jeśli nie wymagało to przełamania jakichkolwiek zabezpieczeń (tak, to ten sam uroczy art. 267 par. 1 kodeksu karnego). 

Niestety, musiałbym także brać pod uwagę przepisy nakazujące administratorowi danych osobowych -- którym jest, jakby na to nie patrzeć, Politechnika Wrocławska -- prawidłowe zabezpieczenie zbioru. Z ryzykiem, że jeśli owo zabezpieczenie nie było prawidłowe, zaniedbania mogą być oceniane z perspektywy art. 51 ust. 2 lub art. 52 ustawy o ochronie danych osobowych. Warto bowiem pamiętać, że status administratora danych osobowych wiąże się także z pewnymi powinnościami, tj. z obowiązkiem zapewnienia przetwarzanym danym osobowym odpowiedniego poziomu bezpieczeństwa -- a to pod rygorem odpowiedzialności karnej.
Skoro zatem (choćby wskutek niedociągnięć po stronie wykonawcy) mogła zaistnieć sytuacja, w której osoba postronna miała bieżący (!) dostęp do danych, to nawet jeśli nie doszło do skopiowania oryginalnego zbioru, administrator może mieć kłopot z prawem.

PS zrzut ekranu powyżej pociągnięty za Niebezpiecznikiem.