Incydent cyberbezpieczeństwa a obowiązek zgłoszenia

Incydent techniczny i naruszenie danych to nie synonimy

Zdarzenie takie jak próba logowania, alarm antywirusowy lub chwilowa niedostępność serwisu nie zawsze jest naruszeniem ochrony danych osobowych w rozumieniu RODO. Z kolei skuteczne zaszyfrowanie danych, zmiana rekordów lub nieuprawniony dostęp może naruszać ich dostępność, integralność lub poufność. Dlatego procedura wymaga szybkiej kwalifikacji faktów, a nie stosowania identycznego formularza do każdego alertu.

Termin 72 godzin nie dotyczy wszystkich alarmów

Art. 33 RODO reguluje zgłoszenie organowi nadzorczemu naruszenia ochrony danych osobowych, chyba że jest mało prawdopodobne ryzyko naruszenia praw lub wolności osób. Co do zasady czas liczy się od stwierdzenia naruszenia, nie od samego technicznego pojawienia się dowolnego sygnału. Opóźnienie wymaga uzasadnienia, a obowiązek dokumentowania naruszeń ma szerszy zakres niż obowiązek ich zgłaszania.

Powiadomienie osób, których dane dotyczą

Art. 34 RODO wymaga odrębnego badania ryzyka wysokiego dla praw i wolności osób fizycznych. Nie wolno automatycznie utożsamiać zgłoszenia do PUODO z obowiązkiem wysłania informacji każdemu klientowi. Należy ustalić rodzaje danych, liczbę osób, możliwe skutki ujawnienia oraz skuteczność środków takich jak szyfrowanie. W niektórych przypadkach sposób poinformowania podlega szczególnym wyjątkom.

Zabezpieczenie śladów i ciągłości dowodowej

Przy reagowaniu warto zachować logi, oryginalne alerty, historię dostępu administratorów, obraz systemu i chronologię działań bez niekontrolowanego nadpisywania danych. Nie należy poświęcać dowodów tylko dlatego, że przywracanie usług jest pilne. Incydent może rodzić równolegle obowiązki wynikające z umowy, przepisów sektorowych lub regulacji o cyberbezpieczeństwie.

Operatorzy i podmioty przetwarzające

Gdy incydent nastąpi u dostawcy hostingu lub procesora, trzeba ustalić role stron i termin przekazania informacji administratorowi danych. Umowa powierzenia powinna przewidywać zakres raportu technicznego, współpracę przy ocenie ryzyka i możliwość uzyskania logów. Sama deklaracja podwykonawcy, że „sytuacja została opanowana”, nie zwalnia administratora z własnych obowiązków oceny.

Decyzja, której można bronić w audycie

Dobra dokumentacja zawiera, kiedy wykryto zdarzenie, kiedy uznano je za naruszenie danych, jakie informacje wyciekły lub stały się niedostępne, jaki poziom ryzyka ustalono oraz dlaczego zgłoszono je lub odstąpiono od zgłoszenia. Ocena powinna być aktualizowana przy nowych faktach, a nie zamknięta na podstawie pierwszej wiadomości od działu IT.

Podstawy prawne i źródło

art. 33–34 RODO oraz właściwe przepisy sektorowe. Urzędowe źródło do sprawdzenia. Zastosowanie norm wymaga uwzględnienia daty zdarzenia i przepisów szczególnych.