Czy jest to naruszenie ochrony danych osobowych i czy muszę je zgłosić?

Jako przedsiębiorca odpowiadają Państwo za dane osobowe swoich klientów i pracowników. W RODO nazywa się to administratorem danych. W tym artykule wyjaśniamy, kiedy dochodzi do naruszenia ochrony danych (wycieku danych), kiedy należy je zgłosić i co zrobić od razu. Jest to ogólne wyjaśnienie, a nie porada prawna. W razie wątpliwości prosimy sprawdzić stronę internetową holenderskiego organu nadzorczego Autoriteit Persoonsgegevens (AP) lub zwrócić się do prawnika.

Czym jest naruszenie ochrony danych?

Zgodnie z RODO, europejskim prawem o ochronie prywatności, jest to naruszenie bezpieczeństwa, w wyniku którego dane osobowe zostają utracone, zniszczone lub zmienione albo trafiają do osoby, która nie powinna mieć do nich dostępu (art. 4 pkt 12). Dane osobowe to informacje o możliwej do zidentyfikowania osobie, takie jak imię i nazwisko, adres e-mail, adres zamieszkania czy historia zamówień. Nie chodzi więc wyłącznie o hakerów. Przykłady:

• wiadomość e-mail lub załącznik z danymi osobowymi wysłany do niewłaściwego odbiorcy;
• zgubiony lub skradziony laptop, telefon albo pendrive z danymi osobowymi, które nie były zaszyfrowane;
• przejęta skrzynka pocztowa, w której znajdują się faktury, oferty lub listy motywacyjne;
• strona internetowa lub sklep internetowy, z którego skradziono dane klientów;
• ransomware, przez które tracą Państwo dostęp do bazy klientów, nawet jeśli nic nie zostało skopiowane.

Pierwsze kroki

1. Proszę zatrzymać wyciek. Prosimy poprosić niewłaściwego odbiorcę o usunięcie wiadomości i potwierdzenie tego. Hasło do przejętej skrzynki pocztowej należy zmienić z urządzenia, któremu Państwo ufają (zob. Bezpieczne hasła i co zrobić, gdy hasło wyciekło).
2. Proszę ustalić, co się wydarzyło. Jaka jest przyczyna, kiedy to się zaczęło, jakich danych to dotyczy, ilu osób, kto ma do nich dostęp i czy dane były zaszyfrowane? Prosimy wszystko zapisać, z datą i godziną.
3. Proszę ocenić ryzyko dla osób, których dane dotyczą (zob. poniżej).
4. Proszę zgłosić naruszenie do AP, jeśli jest to konieczne, w ciągu 72 godzin.
5. Proszę poinformować osoby, których dane dotyczą, jeśli ryzyko dla nich jest wysokie.
6. Proszę wpisać zdarzenie do rejestru naruszeń. Robią to Państwo zawsze.

Czy muszę zgłosić naruszenie do Autoriteit Persoonsgegevens?

Naruszenie zgłasza się bez zbędnej zwłoki i w miarę możliwości w ciągu 72 godzin od jego wykrycia. Nie jest to konieczne, jeśli jest mało prawdopodobne, by skutkowało ono ryzykiem dla osób, których dane dotyczą (art. 33 RODO).

• Termin biegnie od chwili, w której się Państwo dowiedzieli, a nie od chwili wycieku. Weekend się wlicza: jeśli wykryją Państwo naruszenie w piątek o 16:40, zgłoszenia należy dokonać najpóźniej w poniedziałek o 16:40.
• Niepełne zgłoszenie jest dopuszczalne. Jeśli po 72 godzinach nie znają Państwo jeszcze wszystkich szczegółów, prosimy zgłosić to, co wiadomo, i uzupełnić zgłoszenie później.
• Wyłącznie online. Zgłoszenia dokonuje się za pomocą formularza AP, a nie telefonicznie, e-mailem ani pocztą. Kwestionariusz AP pomaga przygotować zgłoszenie.
• Mają Państwo wątpliwości? AP zaleca, aby w takim przypadku mimo wszystko dokonać zgłoszenia.

Przy ocenie pomocne są następujące pytania:

Przykład: jeśli skradziono dobrze zaszyfrowany laptop, ryzyko prawdopodobnie nie występuje. Zgłoszenie nie jest wtedy konieczne, ale zdarzenie należy wpisać do rejestru. Na niezaszyfrowanym laptopie znalazca może odczytać wszystko; wtedy ryzyko zazwyczaj występuje.

Kiedy należy poinformować osoby, których dane dotyczą?

Jeśli naruszenie może prawdopodobnie skutkować wysokim ryzykiem dla osób, których dane dotyczą, należy je niezwłocznie poinformować (art. 34 RODO). Prosimy wyjaśnić prostym językiem, co się wydarzyło, jakie mogą być skutki, co Państwo robią i co te osoby mogą zrobić same, na przykład zmienić hasło lub zachować szczególną ostrożność wobec phishingu podszywającego się pod Państwa firmę.

Nie jest to konieczne, jeśli dane były nieczytelne dzięki dobremu szyfrowaniu lub jeśli podjęli Państwo następnie działania, dzięki którym wysokie ryzyko nie jest już prawdopodobne. Jeśli dotarcie do wszystkich osób wymagałoby niewspółmiernie dużego wysiłku, należy wydać publiczny komunikat.

Rejestr naruszeń: prowadzić zawsze

Każde naruszenie należy udokumentować, także wtedy, gdy nie zostało zgłoszone (art. 33 ust. 5). Prosimy zapisać fakty, skutki, podjęte działania oraz swoją ocenę: dlaczego zgłosili Państwo naruszenie lub nie i dlaczego poinformowali Państwo osoby, których dane dotyczą, lub nie. AP udostępnia przykładowy rejestr naruszeń.

A jeśli wyciek nastąpił u dostawcy?

Firma hostingowa, program księgowy w chmurze czy usługa newslettera to według RODO podmiot przetwarzający: podmiot, który przetwarza dane osobowe w Państwa imieniu. Podmiot przetwarzający musi poinformować Państwa bez zbędnej zwłoki, jeśli wykryje naruszenie (art. 33 ust. 2). Następnie to Państwo oceniają, czy należy dokonać zgłoszenia, i co do zasady również Państwo sami je składają.

Dotyczy to także sytuacji, w której WebOké jest Państwa podmiotem przetwarzającym. Ustalenia w tym zakresie zawiera nasza umowa powierzenia przetwarzania danych, zob. Umowa powierzenia przetwarzania danych: gdzie ją znaleźć? Podejrzewają Państwo, że wyciek nastąpił u nas, na przykład na naszych serwerach? Prosimy niezwłocznie skontaktować się z nami, zakładając zgłoszenie w Centrum wsparcia, i opisać, co Państwo zauważyli i kiedy.

Więcej informacji

• WebOké Backups: przeglądanie, przywracanie lub pobieranie kopii zapasowej
• Autoriteit Persoonsgegevens: zgłaszać czy nie
• Autoriteit Persoonsgegevens: jak zgłosić naruszenie ochrony danych
• Autoriteit Persoonsgegevens: kwestionariusz formularza zgłoszeniowego
• Autoriteit Persoonsgegevens: przykładowy rejestr naruszeń
• RODO, artykuły 4, 33 i 34 (EUR-Lex)

Chcą Państwo dowiedzieć się więcej? Zapraszamy na bezpłatny kurs Bezpiecznie online dla przedsiębiorców, lekcja 8.2 Naruszenia ochrony danych i obowiązek zgłoszenia.