Wszystko wyglądało rozsądnie. Urząd gminy chciał po prostu szybciej pomóc mieszkańcom w zapisach na letnie półkolonie.
Referat oświaty poprosił więc szkoły, żeby przesyłały listy dzieci objętych wsparciem, informacje o alergiach i numery kontaktowe do rodziców. Najwygodniej było „wrzucić to na wspólny dysk”, do którego dostęp miały też jednostki organizacyjne i operator zewnętrzny obsługujący zapisy.
Przez dwa tygodnie nikt nie widział problemu.
Aż zadzwoniła pierwsza matka. Zapytała, skąd pracownik innej jednostki zna informację o terapii jej dziecka. Chwilę później odezwał się lokalny dziennikarz. Potem dyrektor szkoły, który odkrył, że link do folderu został kiedyś przesłany dalej „tylko roboczo”.
I właśnie wtedy wyszło na jaw coś, co w sektorze publicznym zdarza się częściej, niż powinno: nie było włamania, nie było złośliwego ataku. Było za to zwykłe, codzienne ułatwienie pracy.
Problem? Ogromny.
Bo w jednym miejscu zebrano dane dzieci, dane kontaktowe rodziców i informacje szczególnej kategorii. Bez ograniczenia dostępu do minimum. Bez jasnego podziału ról. Bez oceny, kto naprawdę musi to widzieć.
To nie jest tylko kwestia RODO. To także realne ryzyko dla zaufania mieszkańców do instytucji publicznej. Gdy urząd traci kontrolę nad informacją o dziecku, nie traci „rekordu w bazie”. Traci wiarygodność.
Co można było zrobić inaczej?
– ograniczyć zakres danych już na etapie zbierania,
– nadać dostęp wyłącznie konkretnym osobom i na określony czas,
– oddzielić dane zdrowotne od organizacyjnych,
– sprawdzić podstawę udostępnienia danych między jednostkami i podmiotem zewnętrznym,
– przeszkolić pracowników z pozornie niewinnych „skrótów”, które kończą się incydentem.
W sektorze publicznym największe problemy rzadko zaczynają się od spektakularnego cyberataku. Zwykle zaczynają się od zdania: „żeby było szybciej”.
Jeśli chcesz porozmawiać o takich przypadkach i zobaczyć, jak im zapobiegać w praktyce, zapraszamy na spotkania sprawozdawcze Grupy Format. Możesz też skontaktować się z nami przez stronę internetową — link znajduje się w komentarzu.
