Po stwierdzeniu naruszenia ochrony danych osobowych administrator ma 72 godziny na zgłoszenie go Prezesowi UODO - chyba że naruszenie prawdopodobnie nie powoduje ryzyka dla osób (art. 33 ust. 1 RODO). Gdy ryzyko jest wysokie, trzeba też zawiadomić same osoby (art. 34). Każde naruszenie, zgłoszone czy nie, trafia do wewnętrznej ewidencji. Poniżej cały proces krok po kroku, z harmonogramem i listą najczęstszych błędów.
Co jest naruszeniem ochrony danych
Art. 4 pkt 12 RODO definiuje naruszenie jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Mieszczą się w tym trzy rodzaje zdarzeń:
- poufność - dane zobaczył ktoś, kto nie powinien: e-mail z listą uczniów wysłany do wszystkich rodziców zamiast do jednego, dokumenty w zwykłym koszu, udostępniony publicznie arkusz,
- integralność - dane zmieniono bez uprawnienia, na przykład oceny w dzienniku,
- dostępność - dane zniknęły lub są niedostępne: zgubiony pendrive, atak ransomware, awaria bez kopii zapasowej.
Naruszeniem jest też zdarzenie, które nie wyrządziło jeszcze szkody. To, czy jest groźne, rozstrzyga dopiero ocena ryzyka.
Krok po kroku
1. Stwierdzenie i zapis godziny
Termin 72 godzin biegnie od stwierdzenia naruszenia, czyli od chwili, gdy administrator ma rozsądną pewność, że doszło do incydentu dotyczącego danych osobowych. Krótkie sprawdzenie, czy zgłoszenie pracownika jest prawdziwe, jest dopuszczalne, ale nie może trwać w nieskończoność. Zapisz datę i godzinę stwierdzenia - od niej liczy się termin.
Pracownicy muszą wiedzieć, komu i jak szybko zgłaszać podejrzenie naruszenia. Jeśli naruszenie wykryje podmiot przetwarzający, zawiadamia administratora bez zbędnej zwłoki (art. 33 ust. 2). Warto, by umowa powierzenia określała, jak i w jakim czasie to robi.
2. Ograniczenie skutków
Zanim zaczniesz analizę, zatrzymaj szkodę: poproś adresata o usunięcie błędnie wysłanej wiadomości, zmień hasła, zablokuj konto, zdalnie wyczyść zgubiony telefon, odtwórz dane z kopii. Zapisz, co zrobiono i kiedy - te informacje trafią do zgłoszenia.
3. Powiadomienie inspektora ochrony danych
Inspektor ma być włączany we wszystkie sprawy ochrony danych właściwie i niezwłocznie (art. 38 ust. 1). Doradza przy ocenie ryzyka, pomaga przygotować zgłoszenie i jest punktem kontaktowym dla organu nadzorczego (art. 39 ust. 1 lit. d i e). Decyzję o zgłoszeniu podejmuje jednak administrator.
4. Ocena ryzyka
Ocena odpowiada na pytanie, jakie skutki naruszenie może mieć dla osób. Weź pod uwagę:
- rodzaj danych - dane o zdrowiu, numer PESEL, dane finansowe czy dane dzieci ważą więcej niż adres e-mail służbowy,
- liczbę osób i rekordów,
- łatwość identyfikacji osób,
- możliwe skutki: kradzież tożsamości, strata finansowa, dyskryminacja, naruszenie dobrego imienia,
- zastosowane zabezpieczenia - skutecznie zaszyfrowany laptop z bezpiecznym kluczem to co innego niż laptop bez szyfrowania,
- kto otrzymał dane - zaufany adresat, który potwierdził usunięcie, czy nieznana osoba.
Wynik zapisz z uzasadnieniem: brak ryzyka, ryzyko albo wysokie ryzyko.
5. Zgłoszenie do Prezesa UODO
Jeśli naruszenie może powodować ryzyko, zgłaszasz je w ciągu 72 godzin. Zgłoszenie zawiera co najmniej (art. 33 ust. 3):
- charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów,
- imię, nazwisko i dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego,
- możliwe konsekwencje,
- środki zastosowane lub proponowane, w tym środki minimalizujące skutki.
Nie czekaj na komplet informacji. Art. 33 ust. 4 pozwala przekazywać je etapami. Zgłoszenie po terminie musi zawierać wyjaśnienie przyczyn opóźnienia.
6. Zawiadomienie osób
Przy wysokim ryzyku zawiadamiasz osoby bez zbędnej zwłoki (art. 34 ust. 1), jasnym i prostym językiem. Zawiadomienie opisuje charakter naruszenia oraz zawiera co najmniej kontakt do IOD, możliwe konsekwencje i podjęte środki (art. 34 ust. 2). Dobrze, by podpowiadało też, co osoba może zrobić sama, na przykład zmienić hasło albo zastrzec numer PESEL.
Zawiadomienie nie jest wymagane (art. 34 ust. 3), jeśli dane były chronione tak, że są niezrozumiałe dla osób nieuprawnionych (na przykład szyfrowanie), jeśli późniejsze środki wyeliminowały prawdopodobieństwo wysokiego ryzyka, albo jeśli wymagałoby to niewspółmiernie dużego wysiłku - wtedy zamiast tego wydaje się publiczny komunikat. Prezes UODO może zażądać zawiadomienia osób (art. 34 ust. 4).
7. Ewidencja i wnioski
Każde naruszenie wpisujesz do wewnętrznej ewidencji: okoliczności, skutki i działania naprawcze (art. 33 ust. 5). Dotyczy to także naruszeń, których nie zgłoszono - ewidencja pozwala organowi sprawdzić, czy decyzja była słuszna. Na koniec zapytaj, co trzeba zmienić, i zaktualizuj analizę ryzyka.
Harmonogram w praktyce
| Kiedy | Co zrobić |
|---|---|
| Godzina 0 | Stwierdzenie naruszenia, zapis daty i godziny, powiadomienie IOD |
| Pierwsze godziny | Ograniczenie skutków, zebranie faktów, ustalenie, czyje dane i jakie |
| Do około 24 godzin | Ocena ryzyka z uzasadnieniem, decyzja administratora |
| Do 72 godzin | Zgłoszenie do Prezesa UODO, jeśli jest ryzyko - choćby wstępne |
| Bez zbędnej zwłoki | Zawiadomienie osób, jeśli ryzyko jest wysokie |
| Po zamknięciu | Wpis do ewidencji, uzupełnienie zgłoszenia, wnioski i zmiany zabezpieczeń |
Granice godzinowe poza 72 godzinami to nasza rekomendacja, nie przepis. Chodzi o to, by decyzja nie zapadała w ostatniej godzinie terminu.
Najczęstsze błędy
- Liczenie dni roboczych. 72 godziny to trzy doby zegarowe, także w weekend.
- Czekanie na pełny obraz. Lepsze zgłoszenie wstępne uzupełnione później niż spóźnione i kompletne.
- Brak wpisu w ewidencji dla naruszeń, których nie zgłoszono.
- Decyzja bez uzasadnienia. Bez zapisanej oceny ryzyka trudno wykazać, dlaczego naruszenia nie zgłoszono.
- Zawiadomienie językiem prawnika. Osoba ma zrozumieć, co się stało i co może zrobić.
- Pominięcie procesora. Umowa powierzenia nie mówi, jak szybko dostawca ma zawiadomić.
Za naruszenie obowiązków z art. 33 i 34 art. 83 ust. 4 RODO przewiduje administracyjną karę pieniężną do 10 000 000 euro lub do 2% całkowitego rocznego światowego obrotu, przy czym polska ustawa z 10 maja 2018 r. ustala niższe limity dla jednostek sektora finansów publicznych (art. 102).
Naruszenie a incydent według ustawy o KSC
Jeśli Twoja jednostka podlega znowelizowanej ustawie o krajowym systemie cyberbezpieczeństwa, to samo zdarzenie może być też incydentem poważnym - z własnymi terminami i zgłoszeniem do CSIRT. Opisujemy to na stronie SZBI i KSC.
Gotowa procedura i zegar, który liczy za Ciebie
W Cyberenu zgłoszenie naruszenia prowadzi przez analizę, ocenę ryzyka i decyzję o zawiadomieniu Prezesa UODO. Zegar 72 godzin liczy od wykrycia i przypomina przed terminem, a raport i ewidencja naruszeń są gotowe. Instrukcja postępowania przy naruszeniu jest częścią dokumentacji RODO, a dane o osobach i kategoriach danych pochodzą z rejestru czynności. Jeśli prowadzisz szkołę, zajrzyj też do artykułu o dokumentacji RODO w szkole. O wdrożenie zapytasz przez stronę kontaktową.
