Naruszenie danych osobowych – kiedy biegnie 72 godziny na zgłoszenie do organu?

Najpierw trzeba rozpoznać naruszenie

Naruszenie ochrony danych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych. Nie każdy incydent IT jest naruszeniem RODO, ale każdy poważny incydent powinien zostać szybko oceniony pod tym kątem.

Kiedy administrator „wie”?

Termin nie powinien być sztucznie przesuwany do momentu zakończenia pełnego audytu. Administrator uzyskuje wiedzę, gdy ma wystarczający stopień pewności, że doszło do incydentu obejmującego dane osobowe. Dalsze ustalenia mogą być prowadzone równolegle, a informacje mogą być przekazywane organowi etapami, jeżeli nie da się ich zebrać jednocześnie.

Nie każde naruszenie podlega zgłoszeniu

Art. 33 RODO przewiduje wyjątek, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. To wymaga udokumentowanej oceny ryzyka. Brak zgłoszenia nie powinien wynikać z intuicji ani z obawy przed konsekwencjami reputacyjnymi.

Co obejmuje ocena ryzyka?

Znaczenie mają rodzaj danych, ich wrażliwość, liczba osób, możliwość identyfikacji, skutki finansowe lub społeczne, szczególna podatność osób oraz to, czy dane były skutecznie zabezpieczone. Inaczej ocenia się zaszyfrowany nośnik z prawidłowo chronionym kluczem, a inaczej publicznie dostępny plik z danymi klientów.

Spóźnione zgłoszenie

Przekroczenie 72 godzin nie oznacza, że należy zrezygnować ze zgłoszenia. RODO wymaga dołączenia wyjaśnienia przyczyn opóźnienia. Organizacja powinna zatem działać niezwłocznie, a nie czekać na idealny raport końcowy.

Osoby, których dane dotyczą

Obowiązek zawiadomienia osób jest odrębny od zgłoszenia organowi i zależy od wysokiego ryzyka dla ich praw lub wolności oraz wyjątków przewidzianych w art. 34. Procedura incydentowa powinna więc zawierać dwie osobne decyzje: o zgłoszeniu organowi oraz o komunikacji do osób.

Dokumentacja każdego naruszenia

Administrator dokumentuje naruszenia, ich okoliczności, skutki i podjęte działania naprawcze. Rejestr powinien obejmować również incydenty niezgłoszone wraz z uzasadnieniem oceny. To jeden z najważniejszych dowodów prawidłowego zarządzania incydentem.

72 godziny liczy się od momentu „stwierdzenia” naruszenia przez administratora

Kluczowe jest ustalenie chwili, w której administrator ma rozsądny stopień pewności, że doszło do naruszenia ochrony danych osobowych. Nie zawsze będzie to moment pierwszego alarmu technicznego. Z drugiej strony organizacja nie może sztucznie odwlekać „stwierdzenia” przez brak procedury eskalacji. Helpdesk, SOC, dział prawny i inspektor ochrony danych powinni mieć jasne zasady przekazywania sygnałów, aby informacja nie utknęła w jednej komórce organizacyjnej.

Nie każdy incydent bezpieczeństwa jest naruszeniem danych osobowych

Awaria systemu, atak DDoS czy utrata urządzenia wymagają oceny, ale obowiązek z art. 33 RODO dotyczy naruszenia bezpieczeństwa prowadzącego do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych. Zespół powinien więc szybko ustalić, jakie dane były objęte zdarzeniem, ilu osób dotyczy problem i czy naruszono poufność, integralność albo dostępność.

Ocena ryzyka decyduje o zgłoszeniu, ale trzeba ją udokumentować

Jeżeli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych, zgłoszenie do organu może nie być wymagane. Taka decyzja nie powinna być intuicyjna. Należy udokumentować kategorie danych, skalę, możliwość identyfikacji, skutki, grupę osób, zabezpieczenia i działania ograniczające ryzyko. Brak zgłoszenia bez udokumentowanej analizy jest znacznie trudniejszy do obrony.

Zgłoszenie może być etapowe

W pierwszych godzinach po incydencie organizacja często nie zna wszystkich szczegółów. RODO przewiduje możliwość przekazywania informacji sukcesywnie, jeżeli nie można ich dostarczyć jednocześnie. Nie należy więc opóźniać całego zgłoszenia tylko dlatego, że trwa analiza forensyczna. Ważne jest wskazanie tego, co już wiadomo, przyczyn opóźnienia – jeżeli termin został przekroczony – oraz planu uzupełnienia danych.

Art. 34 to odrębne pytanie o zawiadomienie osób

Zgłoszenie organowi i poinformowanie osób, których dane dotyczą, opierają się na różnych progach ryzyka. Jeżeli naruszenie może powodować wysokie ryzyko, trzeba dodatkowo przeanalizować obowiązek komunikacji z osobami. Treść powinna być jasna i praktyczna: wyjaśniać rodzaj naruszenia, możliwe konsekwencje, podjęte środki oraz działania, które osoba może wykonać, aby ograniczyć ryzyko.

Rejestr naruszeń obejmuje także incydenty niezgłoszone

Administrator powinien dokumentować naruszenia w sposób pozwalający organowi zweryfikować zgodność działania z RODO. Rejestr nie powinien zawierać wyłącznie zdarzeń wysłanych do UODO. Warto utrzymywać pełną historię decyzji, czas wykrycia, czas eskalacji, analizę ryzyka, działania naprawcze i uzasadnienie zgłoszenia albo jego braku. Taki materiał jest również podstawą do poprawy zabezpieczeń.

Przeczytaj również

• AI literacy w firmie – czego naprawdę wymaga art. 4 AI Act?
• Transfer danych poza EOG: SCC, ocena ryzyka i podwykonawcy chmurowi

Warto przeczytać także

• Atak ransomware w firmie: obowiązki prawne i pierwsze 72 godziny
• Inspektor ochrony danych: kiedy administrator musi powołać IOD?