Naruszenia ochrony danych i obowiązek zgłoszenia

Moduł 8: Gdy coś pójdzie nie tak · Czas czytania: 11 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili ocenić, czy doszło do naruszenia ochrony danych, czy należy je zgłosić w ciągu 72 godzin do Prezesa Urzędu Ochrony Danych Osobowych (UODO) oraz czy należy poinformować osoby, których dane dotyczą, a także będą Państwo potrafili zapisać to w rejestrze naruszeń.

Kluczowe pojęcia: dane osobowe, naruszenie ochrony danych osobowych, administrator, podmiot przetwarzający, artykuł 33 i 34 RODO, formularz zgłoszenia naruszeń, 72 godziny, ryzyko i wysokie ryzyko, rejestr naruszeń

Czym jest naruszenie ochrony danych?

Przy słowie "naruszenie danych" ludzie myślą o hakerach, którzy kradną bazę danych. To tylko jedna z form. RODO stosuje szersze określenie: naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych (artykuł 4 punkt 12).

Dane osobowe to wszelkie informacje o możliwej do zidentyfikowania osobie: imię i nazwisko, adres e-mail taki jak jan.jansen@..., numer telefonu, adres, numer klienta z historią zamówień, zdjęcie, adres IP w połączeniu z innymi danymi. Dane o samej firmie (numer w rejestrze, ogólny adres) nie są danymi osobowymi, ale dane o osobie kontaktowej już tak.

Dlatego wszystkie poniższe sytuacje są naruszeniami ochrony danych:

• e-mail z listą klientów wysłany do niewłaściwego odbiorcy;
• newsletter, w którym wszyscy odbiorcy są widoczni w polu Do lub DW;
• zgubiony pendrive lub laptop z danymi pracowników, jeśli nie były zaszyfrowane;
• ransomware szyfrujący dane administracyjne klientów (dane są wtedy niedostępne, nawet jeśli nic nie zostało skopiowane);
• przejęta skrzynka pocztowa, w której znajdują się faktury z nazwiskami i adresami;
• udostępniony link do folderu z listami motywacyjnymi, który jest dostępny dla wszystkich.

Określenie "naruszenie bezpieczeństwa" pokazuje, że nie chodzi wyłącznie o poufność. Liczy się również utrata (dane zniknęły) oraz zmiana (ktoś zmienił numery rachunków).

Kto jest odpowiedzialny: Państwo czy Państwa dostawca?

RODO rozróżnia dwie role.

• Administrator decyduje, dlaczego i jak przetwarzane są dane osobowe. W przypadku danych Państwa klientów i pracowników to Państwo pełnią tę rolę jako przedsiębiorca.
• Podmiot przetwarzający przetwarza dane na Państwa zlecenie: Państwa firma hostingowa, system księgowy w chmurze, usługa do newsletterów, dostawca IT.

Jeśli dojdzie do naruszenia u podmiotu przetwarzającego, musi on poinformować Państwa bez zbędnej zwłoki (artykuł 33 ustęp 2). Wówczas to Państwo oceniają, czy należy zgłosić naruszenie do UODO i poinformować osoby, których dane dotyczą, i co do zasady to Państwo dokonują zgłoszenia (chyba że uzgodniono, że podmiot przetwarzający robi to w Państwa imieniu). Obowiązek pozostaje więc po Państwa stronie, nawet jeśli błąd leżał po stronie innego podmiotu. Dlatego w umowie powierzenia przetwarzania danych powinny znaleźć się ustalenia dotyczące tego, jak szybko i w jaki sposób podmiot przetwarzający Państwa informuje (lekcja 7.2).

Zegar 72 godzin

Artykuł 33 RODO stanowi, że naruszenie ochrony danych należy zgłosić do Prezesa UODO bez zbędnej zwłoki, a w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia. Wyjątek: jeśli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Cztery kwestie są często rozumiane błędnie:

1. Zegar zaczyna biec od momentu, gdy Państwo się o tym dowiedzą, a nie od momentu, w którym doszło do naruszenia. "Dowiedzieć się" oznacza: mają Państwo uzasadnioną pewność, że doszło do naruszenia obejmującego dane osobowe. Krótka wstępna ocena jest dopuszczalna, ale świadome niesprawdzanie sprawy nie przesuwa startu zegara.
2. 72 godziny to 72 godziny, również w weekend i w święta. Jeśli odkryją Państwo naruszenie w piątek o 16:40, ostateczny termin przypada na poniedziałek na 16:40.
3. Niepełne zgłoszenie jest dopuszczalne. Jeśli po 72 godzinach nie wiedzą Państwo jeszcze wszystkiego, należy zgłosić to, co wiadomo, i uzupełnić informacje później. Jeśli zgłoszenie nastąpi później niż po 72 godzinach, trzeba to uzasadnić; UODO akceptuje to jedynie w wyjątkowych przypadkach.
4. Liczy się ryzyko dla osób fizycznych, a nie szkoda dla Państwa firmy.

Ontdekt:  vrijdag   16:40   -> klok start
          zaterdag            (telt mee)
          zondag              (telt mee)
Uiterlijk maandag   16:40   -> melding bij de AP (eventueel onvolledig)

Zgłoszenie można złożyć wyłącznie za pomocą elektronicznego formularza zgłoszenia naruszenia do UODO; nie jest możliwe zgłoszenie telefoniczne, mailowe ani listowne. UODO udostępnia listę pytań, dzięki której mogą Państwo wcześniej przygotować treść zgłoszenia. Należy podać między innymi, co się stało, kiedy, jakich i ilu danych oraz osób to dotyczy, jakie mogą być konsekwencje oraz jakie środki zostały podjęte. Tutaj zwraca się dziennik zdarzeń z lekcji 8.1.

Kiedy zgłaszać, a kiedy nie: ocena ryzyka

Oceniają Państwo, jak prawdopodobne i jak poważne są konsekwencje dla osób, których dane dotyczą. Proszę pomyśleć o: kradzieży tożsamości, szkodzie finansowej, dyskryminacji, szkodzie dla reputacji lub utracie kontroli nad danymi. Pytania pomocnicze:

Dwa przykłady, które często się powtarzają:

• Skradziony zaszyfrowany laptop, silne hasło, klucz nie wyciekł, aktualna kopia zapasowa: prawdopodobnie brak ryzyka. Nie zgłaszać do UODO, ale zapisać w rejestrze.
• Zhakowany sklep internetowy, atakujący zdobył adresy e-mail i słabo zabezpieczone hasła: istnieje ryzyko, więc należy zgłosić. A ponieważ ludzie często używają tego samego hasła w wielu miejscach (lekcja 1.4), ryzyko jest wysokie: należy poinformować osoby, których dane dotyczą.

Mają Państwo wątpliwości? Wtedy zgłoszenie jest zwykle bezpieczniejszym wyborem. Również UODO zaleca zgłaszanie w razie wątpliwości. Nowe informacje przekazuje się później w formie zgłoszenia uzupełniającego.

Informowanie osób, których dane dotyczą: przy wysokim ryzyku

Artykuł 34 dotyczy osób, których dane dotyczą. Jeśli naruszenie może powodować wysokie ryzyko, należy poinformować te osoby bez zbędnej zwłoki: tak szybko, jak to rozsądnie możliwe. Nie obowiązuje tu termin 72 godzin, ale czekanie, aż wszystko zostanie wyjaśnione, też nie jest właściwym podejściem.

W wiadomości należy jasnym językiem opisać, co się stało, jakie są prawdopodobne konsekwencje, co Państwo robią oraz co osoby te mogą zrobić same (na przykład zmienić hasło w innych miejscach, być czujnym na phishing podszywający się pod Państwa firmę, ostrzec swój bank), a także podać osobę kontaktową.

Informowanie nie jest konieczne, jeśli zastosowali Państwo odpowiednie środki czyniące dane nieczytelnymi (np. dobre szyfrowanie), jeśli po fakcie podjęli Państwo działania, dzięki którym wysokie ryzyko przestało być prawdopodobne, lub gdyby wymagało to niewspółmiernie dużego wysiłku: wtedy publikuje się publiczne zawiadomienie (artykuł 34 ustęp 3).

Proszę zwrócić uwagę: phishing często następuje po naruszeniu ochrony danych. Przestępcy wiedzą wtedy, kim są Państwa klienci, i wysyłają e-mail "od Państwa". Proszę ostrzec o tym również swoich klientów.

Rejestr naruszeń: zawsze

Artykuł 33 ustęp 5 zobowiązuje Państwa do odnotowania każdego naruszenia ochrony danych, nawet jeśli nie zostaje ono zgłoszone. Proszę zapisać: fakty, konsekwencje, podjęte środki oraz dokonaną ocenę (dlaczego zgłoszono lub nie, dlaczego poinformowano lub nie). Formę mogą Państwo wybrać sami; UODO udostępnia przykładowy rejestr naruszeń. Wystarczy prosta tabela:

Nr | Ontdekt (datum/tijd) | Wat gebeurde | Welke gegevens, hoeveel mensen
   | Gevolgen | Maatregelen | AP gemeld? (ja/nee + waarom, datum)
   | Betrokkenen geïnformeerd? (ja/nee + waarom) | Afgehandeld (datum)

Rejestr pomaga również Państwu samym: jeśli trzy razy w roku widzą Państwo wpis "mail do niewłaściwego odbiorcy", wiedzą Państwo, co należy poprawić (na przykład opóźnienie wysyłki, albo rezygnacja z list klientów jako załączników, lekcja 7.3).

Naruszenie danych a ustawa o krajowym systemie cyberbezpieczeństwa: dwa różne zgłoszenia

Jeśli Państwa organizacja podlega ustawie o krajowym systemie cyberbezpieczeństwa (KSC) (NIS2, lekcja 9.1), obowiązuje dodatkowo obowiązek zgłaszania poważnych incydentów: wstępne powiadomienie w ciągu 24 godzin, zgłoszenie w ciągu 72 godzin oraz raport końcowy w ciągu miesiąca, za pośrednictwem wykazu/rejestru podmiotów KSC. To inne zgłoszenie, o innym celu (ciągłość świadczonych usług) i do innego organu. Atak ransomware może więc podlegać obu obowiązkom jednocześnie. Większość małych firm nie podlega ustawie o KSC; obowiązek zgłaszania wynikający z RODO dotyczy natomiast każdego.

Niniejsza lekcja ma charakter ogólnego wyjaśnienia i nie stanowi porady prawnej. W razie wątpliwości proszę zapoznać się ze stroną internetową UODO lub skonsultować się z prawnikiem.

Podsumowanie

• Naruszenie ochrony danych to każde naruszenie, w wyniku którego dane osobowe giną, zmieniają się lub trafiają do osoby, która nie powinna mieć do nich dostępu; dotyczy to również e-maila wysłanego do niewłaściwego odbiorcy czy zgubionego niezaszyfrowanego laptopa.
• Zgłoszenie do UODO: bez zbędnej zwłoki, a w miarę możliwości w ciągu 72 godzin od wykrycia, również w weekend, chyba że ryzyko jest mało prawdopodobne. Niepełne zgłoszenie jest dopuszczalne.
• Informowanie osób, których dane dotyczą: bez zbędnej zwłoki, jeśli istnieje prawdopodobieństwo wysokiego ryzyka.
• Jeśli naruszenie nastąpi u podmiotu przetwarzającego, musi on Państwa poinformować; decyzja o zgłoszeniu należy do Państwa.
• Każde naruszenie ochrony danych należy odnotować w rejestrze naruszeń, wraz z dokonaną oceną.

Quiz

Zadanie

Zadanie A8.2: Proszę obliczyć termin. Otrzymają Państwo cztery momenty wykrycia naruszenia. Dla każdego momentu proszę wpisać ostateczną datę i godzinę zgłoszenia do UODO. Program sprawdzi odpowiedzi.

Zadanie A8.2b: Zgłaszać czy nie? Otrzymają Państwo osiem krótkich przypadków. Dla każdego przypadku proszę wybrać, czy należy zgłosić naruszenie do UODO, czy trzeba poinformować osoby, których dane dotyczą, oraz czy należy je odnotować w rejestrze naruszeń. Program sprawdzi odpowiedzi i poda wyjaśnienie dla każdego przypadku.

Przeczytaj więcej

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działanie jest podobne.

• Pomocy! Moja strona została zhakowana. Jak to naprawić lub temu zapobiec?
• Prezes Urzędu Ochrony Danych Osobowych, przykładowy rejestr naruszeń ochrony danych: https://uodo.gov.pl/
• Prezes Urzędu Ochrony Danych Osobowych, obowiązek zgłaszania naruszeń ochrony danych: https://uodo.gov.pl/
• Prezes Urzędu Ochrony Danych Osobowych, formularz zgłoszenia naruszenia ochrony danych: https://uodo.gov.pl/
• RODO (Rozporządzenie (UE) 2016/679), artykuły 4, 33 i 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• CERT Polska, zgłaszanie naruszeń bezpieczeństwa: https://cert.pl/