Czy to jest wyciek danych i czy muszę go zgłosić?

Jako przedsiębiorca odpowiadają Państwo za dane osobowe swoich klientów i pracowników. W RODO określani są Państwo wówczas jako administrator danych. Poniżej dowiedzą się Państwo, kiedy mamy do czynienia z naruszeniem ochrony danych, kiedy należy je zgłosić i co zrobić w pierwszej kolejności. Jest to ogólne wyjaśnienie, a nie porada prawna. W razie wątpliwości prosimy zapoznać się ze stroną internetową Urzędu Ochrony Danych Osobowych (AP) lub skonsultować się z prawnikiem.

Czym jest naruszenie ochrony danych?

Zgodnie z RODO, europejskim prawem o ochronie prywatności, jest to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmodyfikowania danych osobowych lub nieuprawnionego ujawnienia bądź dostępu do nich (artykuł 4, punkt 12). Dane osobowe to informacje dotyczące możliwej do zidentyfikowania osoby, takie jak imię i nazwisko, adres e-mail, adres zamieszkania lub historia zamówień. Nie chodzi więc wyłącznie o działania hakerów. Przykłady:

• wiadomość e-mail lub załącznik z danymi osobowymi wysłane do niewłaściwego odbiorcy;
• zgubiony lub skradziony laptop, telefon albo pendrive z niezaszyfrowanymi danymi osobowymi;
• zhakowana skrzynka pocztowa zawierająca faktury, oferty lub listy motywacyjne;
• strona internetowa lub sklep internetowy, z którego skradziono dane klientów;
• oprogramowanie ransomware uniemożliwiające dostęp do administracji klientów, nawet jeśli żadne dane nie zostały skopiowane.

Pierwsze kroki

1. Zatrzymaj naruszenie. Poproś niewłaściwego odbiorcę o usunięcie wiadomości i potwierdzenie tego. Zmień hasło do przejętej skrzynki pocztowej z zaufanego urządzenia (zobacz Bezpieczne hasła i co zrobić w przypadku wycieku hasła).
2. Ustal, co się wydarzyło. Jaka jest przyczyna, kiedy to się zaczęło, jakich danych dotyczy, ilu osób, kto ma do nich dostęp i czy dane były zaszyfrowane? Zapisz wszystko, podając datę i godzinę.
3. Oceń ryzyko dla osób, których dane dotyczą (zobacz poniżej).
4. Zgłoś naruszenie do AP, jeśli jest to konieczne, w ciągu 72 godzin.
5. Poinformuj osoby, których dane dotyczą, jeśli ryzyko dla nich jest wysokie.
6. Zapisz zdarzenie w rejestrze naruszeń. To robisz zawsze.

Czy muszę zgłosić naruszenie do Urzędu Ochrony Danych Osobowych?

Naruszenie ochrony danych zgłasza się bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego wykrycia. Nie jest to konieczne, jeśli naruszenie najprawdopodobniej nie powoduje ryzyka dla osób, których dane dotyczą (artykuł 33 RODO).

• Czas zaczyna biec od momentu wykrycia, a nie od chwili wystąpienia naruszenia. Weekend również się liczy: jeśli naruszenie wykryto w piątek o 16:40, zgłoszenie należy złożyć najpóźniej w poniedziałek o 16:40.
• Niepełne zgłoszenie jest dopuszczalne. Jeśli po 72 godzinach nie znają Państwo jeszcze wszystkich informacji, prosimy zgłosić to, co wiadomo, i uzupełnić zgłoszenie później.
• Zgłoszenie wyłącznie online. Zgłoszenia dokonuje się za pomocą formularza zgłoszeniowego AP, nie telefonicznie, mailowo ani pocztą. Kwestionariusz AP pomaga przygotować zgłoszenie.
• Mają Państwo wątpliwości? AP zaleca wówczas dokonanie zgłoszenia.

Poniższe pytania pomagają w ocenie:

Przykład: jeśli skradziony zostanie dobrze zaszyfrowany laptop, ryzyko najprawdopodobniej nie występuje. Zgłoszenie nie jest wówczas konieczne, jednak zdarzenie i tak należy zapisać w rejestrze. W przypadku niezaszyfrowanego laptopa osoba, która go znalazła, może odczytać wszystkie dane, co zazwyczaj oznacza wystąpienie ryzyka.

Kiedy informować osoby, których dane dotyczą?

Jeśli naruszenie najprawdopodobniej powoduje wysokie ryzyko dla osób, których dane dotyczą, należy je niezwłocznie poinformować (artykuł 34 RODO). Prosimy wyjaśnić w zrozumiałym języku, co się stało, jakie mogą być tego skutki, co robią Państwo w tej sprawie oraz co osoby te mogą zrobić same, na przykład zmienić hasło lub zwrócić szczególną uwagę na wiadomości phishingowe wysyłane rzekomo w Państwa imieniu.

Nie jest to konieczne, jeśli dane były nieczytelne dzięki odpowiedniemu szyfrowaniu, lub jeśli podjęto następnie działania, dzięki którym wysokie ryzyko przestało być prawdopodobne. Jeśli dotarcie do wszystkich osób wymagałoby nieproporcjonalnie dużego nakładu pracy, można dokonać publicznego ogłoszenia.

Rejestr naruszeń: prowadź go zawsze

Każde naruszenie ochrony danych należy zarejestrować, nawet jeśli nie jest zgłaszane (artykuł 33 ustęp 5). Prosimy zapisać fakty, skutki, podjęte środki oraz uzasadnienie decyzji: dlaczego zgłoszono naruszenie lub tego nie zrobiono oraz dlaczego poinformowano osoby, których dane dotyczą, lub tego nie zrobiono. AP udostępnia przykładowy rejestr naruszeń.

A co, jeśli naruszenie wystąpiło u dostawcy?

Firma hostingowa, system księgowy w chmurze czy usługa newslettera są zgodnie z RODO podmiotem przetwarzającym: stroną przetwarzającą dane osobowe na Państwa zlecenie. Podmiot przetwarzający musi poinformować Państwa bez zbędnej zwłoki, jeśli wykryje naruszenie ochrony danych (artykuł 33 ustęp 2). Następnie to Państwo oceniają, czy należy dokonać zgłoszenia, i co do zasady sami Państwo tego zgłoszenia dokonują.

Dotyczy to również sytuacji, gdy WebOké pełni rolę podmiotu przetwarzającego. Podejrzewają Państwo, że naruszenie wystąpiło po naszej stronie, na przykład na naszych serwerach? Prosimy niezwłocznie skontaktować się z nami poprzez zgłoszenie w Centrum Wsparcia, podając informacje o tym, co zaobserwowano i kiedy.

Więcej informacji

• WebOké Backups: przeglądanie, przywracanie lub pobieranie kopii zapasowej
• Urząd Ochrony Danych Osobowych: zgłaszać czy nie
• Urząd Ochrony Danych Osobowych: jak zgłosić naruszenie ochrony danych
• Urząd Ochrony Danych Osobowych: kwestionariusz formularza zgłoszeniowego
• Urząd Ochrony Danych Osobowych: przykładowy rejestr naruszeń
• RODO, artykuły 4, 33 i 34 (EUR-Lex)