Incydent cyberbezpieczeństwa a obowiązek zgłoszenia

Znaczenie prawne

Nie każde zdarzenie w sieci stanowi naruszenie ochrony danych wymagające zgłoszenia. Problem nie może zostać oceniony wyłącznie na podstawie nazwy zdarzenia lub jednostronnej relacji. Kluczowe jest ustalenie faktów mających znaczenie dla danej normy prawnej.

Podstawa prawna

Punktem wyjścia są art. 33–34 RODO oraz właściwe przepisy sektorowe. Przy stosowaniu tych regulacji trzeba sprawdzić ich brzmienie właściwe dla konkretnej daty, charakter postępowania i możliwe ograniczenia. Nie każde rozwiązanie przewidziane przez ustawę będzie dostępne w każdej sprawie.

Okoliczności rozstrzygające

Należy ocenić ryzyko dla osób, rodzaj informacji i terminy wynikające z prawa. Ocenę ułatwia porównanie dokumentów źródłowych, chronologii zdarzeń i stanowisk zainteresowanych osób. Tam, gdzie potrzebna jest wiedza specjalna, same twierdzenia stron nie zastąpią odpowiedniego dowodu.

Jak przygotować sprawę

Przed wystąpieniem z żądaniem należy uporządkować umowy, decyzje, wiadomości, potwierdzenia doręczeń i inne istotne dokumenty. Następnie trzeba ocenić właściwość organu, terminy i możliwe następstwa danego działania. Weryfikacja obejmuje także argumenty, które mogą osłabiać własne stanowisko.

Wybór odpowiedniego rozwiązania

W zależności od sytuacji zasadne może być wezwanie, negocjacja, mediacja, złożenie środka zaskarżenia albo wystąpienie do sądu. Środki te mają różny charakter i nie są zamienne. Ich wybór powinien odpowiadać faktom i zamierzonemu rezultatowi, a nie samemu przekonaniu strony o słuszności swojego stanowiska.

Praktyczne zagadnienia wymagające rozstrzygnięcia

Reakcja na incydent powinna obejmować ograniczenie szkody, zabezpieczenie dzienników zdarzeń i udokumentowanie oceny ryzyka.

Termin 72 godzin w RODO odnosi się do określonych zgłoszeń naruszenia organowi nadzorczemu i nie oznacza obowiązku raportowania każdego alarmu bezpieczeństwa.

Dokumenty i weryfikacja

Analizę należy rozpocząć od datowanych dokumentów źródłowych, których autentyczność i związek ze sprawą można sprawdzić. W razie sprzeczności między relacjami istotna jest ich weryfikacja za pomocą niezależnych informacji. Tak zebrany materiał pozwala zbudować stanowisko oparte na faktach, a nie na samych przypuszczeniach.

Wnioski

Zagadnienie „Incydent cyberbezpieczeństwa a obowiązek zgłoszenia” wymaga indywidualnej analizy prawnej. W praktyce najwięcej błędów powoduje pominięcie szczegółowych przesłanek, niedostateczne udokumentowanie faktów i zaniechanie czynności w terminie. Artykuł ma charakter informacyjny.