Wyższa Szkoła Logistyki: kara UODO za jeden plik

Prezes UODO nałożył na Wyższą Szkołę Logistyki w Poznaniu karę 64 652 zł. To kara UODO za wyciek danych osobowych, który nie wymagał żadnego włamania: plik ze szczegółowymi danymi **964 studentów** trafił na internetową platformę dziekanatu, gdzie mogły go zobaczyć osoby do tego nieuprawnione. Urząd poinformował o decyzji w **komunikacie UODO** z 2 listopada 2026 r.

Pracownik dziekanatu przez pomyłkę dołączył plik do komunikatu o przydziałach do grup specjalnościowych i językowych. Dotyczył studentów przyjętych na studia w poprzednim roku. Według ustaleń samej uczelni dostęp do pliku miało **388 osób**, otworzyło go 125, a pobrano go **361 razy**. Komunikat nie wymienia, jakie dokładnie dane zawierał plik.

Uczelnia sama zgłosiła naruszenie Prezesowi UODO. To właśnie zgłoszenie otworzyło postępowanie, które skończyło się karą.

Urząd nie ukarał uczelni za to, że ktoś kliknął nie ten załącznik. Ustalił, że uczelnia **nie przeprowadziła poprawnej analizy ryzyka**, a bez niej nie mogła dobrać właściwych zabezpieczeń. Jej analiza obejmowała awarię sprzętu, uszkodzenie systemu, wirusy, nieuprawniony dostęp, utratę nośnika czy ujawnienie haseł, ale nie przewidywała **omyłkowego ujawnienia danych**.

Co gorsza, po incydencie uczelnia powtórzyła analizę z tym samym katalogiem zagrożeń, jakby nic się nie stało. Twierdziła też, że prowadziła wyrywkowe kontrole wiadomości wysyłanych studentom i nie znalazła w nich nadmiarowych danych, ale nie przedstawiła na to żadnego dowodu.

Według Prezesa UODO środki bezpieczeństwa dobierano przez to w sposób dowolny. Urząd uznał, że uczelnia naruszyła **art. 24 ust. 1, art. 25 ust. 1 oraz art. 32 ust. 1 i 2 RODO**, a także zasadę integralności i poufności oraz zasadę rozliczalności. Oprócz kary nakazał wdrożenie odpowiednich środków technicznych i organizacyjnych, poprzedzone nową analizą ryzyka.

Sprawa ma sygnaturę DKN.5131.15.2022. Komunikat nie podaje daty decyzji ani informacji, czy jest prawomocna. 2 listopada 2026 r. jej treści nie było jeszcze w bazie orzeczeń UODO, więc nie wiemy, czy uczelnia zamierza ją zaskarżyć. Uzupełnimy artykuł, gdy decyzja zostanie opublikowana.

Ta sprawa dobrze pokazuje, że wyciek danych osobowych nie musi oznaczać ataku hakerów. Jeden błędny załącznik w systemie, do którego mają dostęp inne osoby, też jest naruszeniem. Urząd ocenia przy tym nie tylko samą pomyłkę, ale też to, czy administrator był na nią przygotowany.

Uczciwie: **kara trafia do budżetu państwa, a nie do studentów**. Decyzja UODO nie rozstrzyga też sporu o odszkodowanie za wyciek danych, bo o tym decyduje sąd cywilny. Opisuje jednak, co zawiodło po stronie uczelni.

Kto podejrzewa, że jego dane były w tym pliku, może zapytać o to uczelnię wprost: art. 15 RODO daje prawo do informacji o tym, jakie dane o nas są przetwarzane. Jeśli w pliku był numer PESEL, rozsądnym krokiem jest **zastrzec numer PESEL** w aplikacji mObywatel lub w urzędzie gminy.