Naruszenie ochrony danych osobowych i zgłoszenie do UODO

Incydent bezpieczeństwa a naruszenie danych osobowych

RODO definiuje naruszenie ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Nie każde zdarzenie IT spełnia tę definicję. Z drugiej strony naruszenie może wystąpić bez ataku hakerskiego — np. przez błędne wysłanie dokumentu do niewłaściwego adresata.

Kiedy biegnie termin 72 godzin

Art. 33 RODO nakazuje administratorowi zgłosić naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Termin nie jest prostym licznikiem od pierwszego alarmu technicznego: istotny jest moment stwierdzenia naruszenia. Nie oznacza to jednak prawa do bezterminowego odwlekania ustaleń. Jeżeli zgłoszenie następuje po 72 godzinach, należy wyjaśnić przyczyny opóźnienia.

Ocena ryzyka musi być konkretna

Znaczenie mają rodzaj danych, liczba osób, możliwe skutki, łatwość identyfikacji, zakres ujawnienia i środki ograniczające ryzyko. Inaczej należy oceniać krótkotrwałą niedostępność danych publicznie dostępnych, a inaczej utratę dokumentacji medycznej czy finansowej. Nie wolno zakładać, że samo zaszyfrowanie lub odzyskanie pliku zawsze usuwa wszelkie ryzyko; trzeba zbadać skuteczność zastosowanych zabezpieczeń i rzeczywisty przebieg incydentu.

Zawiadomienie osób to odrębny obowiązek

Art. 34 RODO przewiduje komunikowanie naruszenia osobie, której dane dotyczą, jeżeli może ono powodować wysokie ryzyko naruszenia jej praw lub wolności, z ustawowymi wyjątkami. Próg ten różni się od oceny obowiązku zgłoszenia organowi. Komunikat powinien być jasny i praktyczny: opisywać charakter zdarzenia, możliwe konsekwencje, zastosowane środki oraz kontakt do osoby mogącej udzielić informacji. Zbyt ogólne zapewnienia o bezpieczeństwie mogą wprowadzać odbiorców w błąd.

Rejestr naruszeń także przy braku zgłoszenia

Art. 33 ust. 5 RODO wymaga dokumentowania wszelkich naruszeń ochrony danych osobowych, w tym okoliczności, skutków i podjętych działań zaradczych. Rejestr nie powinien być jedynie wykazem dat i numerów zgłoszeń. Musi pozwalać wykazać organowi nadzorczemu, dlaczego administrator przyjął określoną kwalifikację zdarzenia i ocenę ryzyka.

Relacja administrator–podmiot przetwarzający

Podmiot przetwarzający ma obowiązek zgłosić administratorowi naruszenie bez zbędnej zwłoki po jego stwierdzeniu (art. 33 ust. 2 RODO). W praktyce umowa powierzenia powinna określać kanały kontaktu, minimalny zakres informacji, eskalację i zabezpieczenie dowodów. Samo przekazanie obowiązków technicznych dostawcy nie zwalnia administratora z odpowiedzialności za właściwą ocenę i wykonanie własnych obowiązków.

Przykład praktyczny

Pracownik szkoły wysłał arkusz zawierający dane identyfikacyjne i informacje o sytuacji uczniów do niewłaściwego odbiorcy. Ocena nie powinna kończyć się na prośbie o usunięcie wiadomości. Należy ustalić zakres danych, tożsamość odbiorcy, możliwość dalszego udostępnienia, konsekwencje dla osób oraz skuteczność działań ograniczających ryzyko.

Checklista pierwszych działań

1. Zabezpiecz systemy i dowody bez niszczenia logów.

2. Ustal, jakie dane i osoby mogły zostać dotknięte.

3. Zapisz moment stwierdzenia naruszenia i przebieg ustaleń.

4. Oceń ryzyko dla praw i wolności osób.

5. Rozstrzygnij osobno o zgłoszeniu do UODO i zawiadomieniu osób.

6. Udokumentuj decyzje, działania naprawcze i wnioski systemowe.

Zgłoszenie etapowe

Art. 33 ust. 4 RODO dopuszcza przekazywanie informacji sukcesywnie bez dalszej zbędnej zwłoki.