Uchybienia stwierdzone w odniesieniu do Administratora Danych Osobowych:

• cyt.: „(…) PUODO ustalił, że administrator danych nie zastosował odpowiednich środków technicznych i organizacyjnych, które zminimalizowałyby ryzyko dla danych. A stało się to dlatego, że wbrew wskazaniom RODO, nie przeprowadził odpowiedniej analizy ryzyka. W tej sytuacji ryzyko to należało łączyć z możliwością wykorzystania złośliwego oprogramowania. Jedną z kluczowych metod zapobiegania takim atakom jest używanie aktualnego oprogramowania dla wszystkich elementów infrastruktury informatycznej. Czego firma nie zrobiła, gdyż takiego zagrożenia nie zidentyfikowała.(…)”.
• cyt.: „(…) kara jest też za: niezweryfikowanie, czy podmiot przetwarzający zapewnia wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, by przetwarzanie spełniało wymogi RODO chroniło prawa osób, których dane dotyczą (pkt I b) sentencji decyzji); nieprawidłowe zawiadomienie osób, których dane dotyczą (pkt I c) sentencji decyzji).(…)”.
• cyt.: „(…) Administrator nie wypełnił też wynikającej z RODO zasady rozliczalności (art. 5 ust. 2 rozporządzenia 2016/679) tak przed, jak i po incydencie.(…)”.
• cyt.: „(…) Administrator wskazywał, że zawinił człowiek (czynnik ludzki), ale, jak sam przyznał, przeprowadził tylko dwa szkolenia z zakresu ochrony danych. A tylko jedno przed zdarzeniem. To za mało, jeśli administrator uważa, że „czynnik ludzki” stwarza w jego organizacji zagrożenie dla danych.(…)”.
• cyt.: „(…) PUODO dopatrzył się też uchybień ze strony Administratora w zakresie zawiadomienia swoich byłych, jak i obecnych pracowników o fakcie naruszenia ochrony ich danych osobowych. (…)”

Ustalenia odnoszące się do Podmiotu Przetwarzającego:

• cyt.: „(…) Prezes UODO zauważył też odpowiedzialność wspólników spółki cywilnej, której administrator powierzył przetwarzanie danych. Wskazał, że nie udzieliła ona administratorowi pomocy w wywiązywaniu się przez niego z obowiązku wdrożenia adekwatnych środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych osobowych. Pomoc ta powinna polegać na poinformowaniu go o braku właściwych zabezpieczeń serwera wykorzystywanego przez niego w procesach przetwarzania danych osobowych, niezależnie od tego czy skutkiem tego braku było jego wykorzystanie przez sprawców ataku ransomware i – tak jak w przedmiotowej sprawie – zaistnienie naruszenia ochrony danych osobowych, czy też nie. Podmiot przetwarzający zaniechał na przestrzeni lat  informowania Administratora o występujących w oprogramowaniu serwera podatnościach (podczas gdy jedna z nich została z powodzeniem wykorzystana przez sprawców przestępnego działania) oraz o konieczności przeprowadzenia aktualizacji systemu operacyjnego do możliwie najnowszej wersji, bądź zastosowania innych, nowszych rozwiązań logicznych.