PUBLICZNY KOMUNIKAT O NARUSZENIU OCHRONY DANYCH OSOBOWYCH
z dnia 20 grudnia 2023 r.
Kielecki Teatr Tańca z siedzibą w Kielcach, pl. Moniuszki 2b na podstawie art. 34 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO), informuje o naruszeniu ochrony danych osobowych:
Charakter naruszenia ochrony danych osobowych
Do naruszenia ochrony danych osobowych doszło prawdopodobnie w wyniku ataku złośliwego oprogramowania szyfrującego pliki znajdujące się na serwerze Kieleckiego Teatru Tańca.
Kategorie osób, których incydent dotyczy
Incydent dotyczy danych osobowych wszystkich kategorii osób, których dane Kielecki Teatr Tańca przetwarza tj. pracowników obecnych i byłych, osób zatrudnionych na podstawie umów cywilnoprawnych, osób wykonujących pracę na zasadzie wolontariatu, obecnych i byłych kontrahentów, sponsorów Kieleckiego Teatru Tańca, będących osobami fizycznymi oraz kontaktów osobowych.
Na chwilę obecną nie ma możliwości ustalenia dokładnej liczby osób, których dane dotyczą. Na chwilę obecną nie ma również możliwości ustalenia dokładnej liczby wpisów danych osobowych, których dotyczy naruszenie.
Możliwe konsekwencje naruszenia ochrony danych osobowych
Dla Kieleckiego Teatru Tańca jako administratora danych osobowych bezpośrednią konsekwencją incydentu jest utrata dostępności danych osobowych. Przekłada się to na brak możliwości realizowania wszystkich zadań np. na chwilę opublikowania niniejszego komunikatu nie działa poczta elektroniczna teatru, nie ma dostępu do dokumentów elektronicznych na serwerze.
Dla osób, których dane dotyczą możliwymi konsekwencjami incydentu są:
- Utrata kontroli nad własnymi danymi osobowymi (nie wiadomo, kto w tej chwili ma dostęp do Państwa danych)
- Brak możliwości realizowania swoich praw w zakresie danych osobowych (osoby, których dane dotyczą np. nie mogą skutecznie wnioskować o zaprzestanie przetwarzania ich danych osobowych)
- Chociaż dotychczasowe czynności nie potwierdziły, by Państwa dane zostały wykorzystane w sposób nieuprawniony, jesteśmy zobowiązani do poinformowania o ryzyku, że dane osobowe mogą zostać użyte do podszywania się w celu wyrządzenia szkody majątkowej lub osobistej (np. żądanie zapłaty nienależnych kwot, szantażowanie utratą dobrego imienia itp. )
Środki zastosowane przez administratora w związku z incydentem
- Natychmiast po ujawnieniu incydentu została uruchomiona tzw. „procedura emergency” wprowadzona zarządzeniem Nr 1A/2022 Dyrektora Kieleckiego Teatru Tańca z dnia 14 lutego 2022 roku w sprawie wprowadzenia „Instrukcji postępowania w przypadkach uzasadnionych podejrzeń naruszenia danych osobowych – procedura emergency”)
- Powiadomiono Centralne Biuro Zwalczania Cyberprzestępczości Wydział w Kielcach i złożono zawiadomienie o podejrzeniu popełnienia przestępstwa.
- Zawiadomiono Prezesa Urzędu Ochrony Danych Osobowych o naruszeniu danych osobowych. Ze względu na wyłączenie poczty elektronicznej, zawiadomienie zostało dokonane pocztą tradycyjną (list polecony za zwrotnym poświadczeniem odbioru)
- Powiadomiono osoby, których dane dotyczą poprzez wydanie publicznego komunikatu.
Środki zastosowane przez administratora w celu zminimalizowania negatywnych skutków
- Wydane zostało polecenie służbowe wyłączenia komputerów służbowych i nieużywania ich do czasu sprawdzenia i odwołania zakazu.
- Wprowadzono czasowy zakaz korzystania z poczty elektronicznej. Dotyczy to również urządzeń końcowych będących własnością pracowników pracujących zdalnie.
- Odłączony został serwer.
- Dysk oraz dysk zapasowy zostały przekazane Policji, celem zabezpieczenia dowodów popełnienia przestępstwa. Z przekazanych przez Policję informacji wynika, że dysk będzie przesłany do Krajowego Zespołu Reagowania na Incydenty Bezpieczeństwa Komputerowego CSIRT NASK, celem zbadania.
- Wydane zostało polecenie służbowe, aby na urządzeniach końcowych będących własnością pracowników pracujących zdalnie zmienić dane do logowania.
Zalecenia dla osób, których dane dotyczą
W najbliższym czasie warto wzmocnić czujność, a wszelkie podejrzane działania zgłaszać na Policję lub do inspektora ochrony danych Kieleckiego Teatru Tańca, np.:
- jeżeli otrzymają Państwo od kogoś maila lub inną wiadomość zawierającą Państwa dane osobowe, gdy te dane nie były wcześniej udostępnione tej osobie,
- jeżeli otrzymają Państwo elektronicznie lub papierowo żądanie zapłacenia nienależnej kwoty pod rygorem opublikowania Państwa danych osobowych,
- jeżeli po zmianie danych do logowania będą Państwo mieli problem z korzystaniem z bankowości elektronicznej, z tożsamości elektronicznej (mObywatel), z publicznych usług elektronicznych (np. Internetowe Konto Pacjenta, ZUS PUE itp.) itp.
Kontakt do inspektora ochrony danych
Milena Procko tel. 605 044 423
Przepraszamy za ewentualne niedogodności, których mogli Państwo doświadczyć w związku z zaistniałą sytuacją. Jeżeli pozyskamy dodatkowe informacje w sprawie incydentu opublikujemy w kolejnym publicznym komunikacie.
Dyrektor Kieleckiego Teatru Tańca
Elżbieta Pańtak
