Naruszenie ochrony danych osobowych i zgłoszenie do UODO

Incydent bezpieczeństwa a naruszenie danych osobowych

RODO definiuje naruszenie ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Nie każde zdarzenie IT spełnia tę definicję. Z drugiej strony naruszenie może wystąpić bez ataku hakerskiego — np. przez błędne wysłanie dokumentu do niewłaściwego adresata.

Kiedy biegnie termin 72 godzin

Art. 33 RODO nakazuje administratorowi zgłosić naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż 72 godziny po stwierdzeniu naruszenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Termin nie jest prostym licznikiem od pierwszego alarmu technicznego: istotny jest moment stwierdzenia naruszenia. Nie oznacza to jednak prawa do bezterminowego odwlekania ustaleń. Jeżeli zgłoszenie następuje po 72 godzinach, należy wyjaśnić przyczyny opóźnienia.

Ocena ryzyka musi być konkretna

Znaczenie mają rodzaj danych, liczba osób, możliwe skutki, łatwość identyfikacji, zakres ujawnienia i środki ograniczające ryzyko. Inaczej należy oceniać krótkotrwałą niedostępność danych publicznie dostępnych, a inaczej utratę dokumentacji medycznej czy finansowej. Nie wolno zakładać, że samo zaszyfrowanie lub odzyskanie pliku zawsze usuwa wszelkie ryzyko; trzeba zbadać skuteczność zastosowanych zabezpieczeń i rzeczywisty przebieg incydentu.

Zawiadomienie osób to odrębny obowiązek

Art. 34 RODO przewiduje komunikowanie naruszenia osobie, której dane dotyczą, jeżeli może ono powodować wysokie ryzyko naruszenia jej praw lub wolności, z ustawowymi wyjątkami. Próg ten różni się od oceny obowiązku zgłoszenia organowi. Komunikat powinien być jasny i praktyczny: opisywać charakter zdarzenia, możliwe konsekwencje, zastosowane środki oraz kontakt do osoby mogącej udzielić informacji. Zbyt ogólne zapewnienia o bezpieczeństwie mogą wprowadzać odbiorców w błąd.

Rejestr naruszeń także przy braku zgłoszenia

Art. 33 ust. 5 RODO wymaga dokumentowania wszelkich naruszeń ochrony danych osobowych, w tym okoliczności, skutków i podjętych działań zaradczych. Rejestr nie powinien być jedynie wykazem dat i numerów zgłoszeń. Musi pozwalać wykazać organowi nadzorczemu, dlaczego administrator przyjął określoną kwalifikację zdarzenia i ocenę ryzyka.

Relacja administrator–podmiot przetwarzający

Podmiot przetwarzający ma obowiązek zgłosić administratorowi naruszenie bez zbędnej zwłoki po jego stwierdzeniu (art. 33 ust. 2 RODO). W praktyce umowa powierzenia powinna określać kanały kontaktu, minimalny zakres informacji, eskalację i zabezpieczenie dowodów. Samo przekazanie obowiązków technicznych dostawcy nie zwalnia administratora z odpowiedzialności za właściwą ocenę i wykonanie własnych obowiązków.

Przykład praktyczny

Pracownik szkoły wysłał arkusz zawierający dane identyfikacyjne i informacje o sytuacji uczniów do niewłaściwego odbiorcy. Ocena nie powinna kończyć się na prośbie o usunięcie wiadomości. Należy ustalić zakres danych, tożsamość odbiorcy, możliwość dalszego udostępnienia, konsekwencje dla osób oraz skuteczność działań ograniczających ryzyko.

Checklista pierwszych działań

1. Zabezpiecz systemy i dowody bez niszczenia logów.

2. Ustal, jakie dane i osoby mogły zostać dotknięte.

3. Zapisz moment stwierdzenia naruszenia i przebieg ustaleń.

4. Oceń ryzyko dla praw i wolności osób.

5. Rozstrzygnij osobno o zgłoszeniu do UODO i zawiadomieniu osób.

6. Udokumentuj decyzje, działania naprawcze i wnioski systemowe.

Zgłoszenie etapowe

Art. 33 ust. 4 RODO dopuszcza przekazywanie informacji sukcesywnie bez dalszej zbędnej zwłoki.

Poufność, integralność i dostępność to trzy odmienne kategorie

Naruszenie poufności może polegać na wysłaniu dokumentu nieuprawnionemu odbiorcy. Naruszenie integralności występuje, gdy dane zostają zmienione bez upoważnienia albo przez błąd techniczny. Naruszenie dostępności może polegać na utracie możliwości odtworzenia danych potrzebnych do zapewnienia praw osób fizycznych. Wszystkie te sytuacje wymagają odrębnej oceny, ponieważ konsekwencje dla osoby fizycznej mogą być inne. Sam fakt awarii sprzętu nie dowodzi automatycznie incydentu podlegającego zgłoszeniu, lecz również brak potwierdzonego wycieku nie wyklucza naruszenia danych.

Kiedy administrator stwierdza naruszenie

Moment stwierdzenia w rozumieniu art. 33 RODO wymaga dostatecznej pewności, że doszło do incydentu bezpieczeństwa obejmującego dane osobowe. Nie jest to koniecznie chwila technicznego alertu ani ostatecznego raportu informatyka. Administrator nie może odkładać podjęcia decyzji aż do poznania wszystkich szczegółów ataku. Dopuszczalna jest wstępna weryfikacja, ale powinna być sprawna i udokumentowana. Wytyczne EROD 9/2022 wyjaśniają znaczenie poziomu pewności oraz przepływu informacji od podmiotu przetwarzającego.

Ryzyko dla praw i wolności, a nie wyłącznie dla firmy

Ocena zgłoszenia powinna koncentrować się na konsekwencjach dla osób, nie tylko na kosztach incydentu dla przedsiębiorstwa. Ujawnienie listy nazwisk może mieć inny ciężar niż ujawnienie numerów identyfikacyjnych, danych zdrowotnych lub informacji o sytuacji rodzinnej. Ważne są prawdopodobieństwo nadużycia, możliwa dotkliwość następstw, liczba osób, zdolność identyfikacji i realne środki ograniczające szkody. Nie wolno automatycznie uznawać naruszenia za nieistotne tylko dlatego, że dotyczy niewielkiej liczby osób.

Próg zgłoszenia do organu i próg zawiadomienia osób

Art. 33 ust. 1 nakazuje zgłoszenie naruszenia organowi nadzorczemu, chyba że jest mało prawdopodobne, aby skutkowało ryzykiem dla praw lub wolności osób fizycznych. Art. 34 przewiduje odrębny obowiązek poinformowania osób, gdy istnieje wysokie ryzyko. Oznacza to dwa różne progi oceny i dwa różne rodzaje działań. Zgłoszenie do UODO nie jest równoznaczne z koniecznością masowego zawiadamiania wszystkich osób; zaniechanie zawiadomienia nie powinno natomiast wynikać z samego obawiania się szkody reputacyjnej.

Co powinno znaleźć się w zgłoszeniu

Art. 33 ust. 3 wskazuje elementy minimum: charakter naruszenia, w miarę możliwości kategorie i przybliżone liczby osób oraz wpisów danych, dane kontaktowe właściwego punktu, opis możliwych konsekwencji oraz środki zastosowane lub proponowane w celu zaradzenia incydentowi. Jeżeli nie można przekazać kompletu danych jednocześnie, art. 33 ust. 4 dopuszcza ich sukcesywne dostarczanie bez dalszej zbędnej zwłoki. Lepiej przekazać rzetelny wstępny opis i uzupełnić go później niż czekać na zakończenie całego audytu.

Dokumentacja także wtedy, gdy naruszenie nie wymaga zgłoszenia

Art. 33 ust. 5 przewiduje obowiązek dokumentowania wszelkich naruszeń ochrony danych osobowych, w tym okoliczności, skutków i działań zaradczych. Rejestr nie powinien ograniczać się do listy naruszeń zgłoszonych organowi. Kluczowe jest wykazanie, dlaczego przy konkretnym incydencie administrator uznał ryzyko za mało prawdopodobne albo stwierdził wysoki poziom zagrożenia. Do dokumentacji warto włączyć chronologię ustaleń, oszacowanie ryzyka i podstawy wyboru środków.

Procesor i administrator: terminy oraz odpowiedzialność

Podmiot przetwarzający zgłasza stwierdzone naruszenie administratorowi bez zbędnej zwłoki zgodnie z art. 33 ust. 2. Administrator pozostaje zasadniczo odpowiedzialny za ocenę obowiązków zgłoszeniowych. Umowa powierzenia powinna definiować kanał alarmowy, minimalny zakres wstępnych informacji i osoby kontaktowe. Nie wolno zakładać, że sam fakt incydentu u zewnętrznego dostawcy zwalnia administratora z analizy ryzyka. Trzeba jednak rozróżnić moment wiedzy dostawcy i moment, w którym administrator uzyskuje dostatecznie pewną informację o naruszeniu.

Błędny adres odbiorcy: model oceny

Pracownik wysyła dokument zawierający dane klienta na nieprawidłowy adres. Pierwszym zadaniem jest ustalenie rodzaju danych, tożsamości i wiarygodności odbiorcy oraz realnej możliwości dalszego ujawnienia. Wysłanie prośby o usunięcie wiadomości nie musi samo w sobie usuwać ryzyka; przydatne może być potwierdzenie usunięcia, zablokowanie dostępu lub zastosowanie szyfrowania w przyszłości. Wynik oceny powinien zdecydować odrębnie o zgłoszeniu do UODO i zawiadomieniu osoby, a cała chronologia powinna trafić do rejestru.

Działania naprawcze i wnioski organizacyjne

Prawidłowa reakcja nie kończy się na wysłaniu formularza. Konieczne mogą być zmiana uprawnień, reset haseł, odwołanie tokenów, poprawa konfiguracji poczty, szkolenie personelu oraz kontrola powtórzeń incydentu. Dokumentacja powinna wskazywać właściciela działania, termin i sposób weryfikacji wykonania. W postępowaniu przed organem nadzorczym istotne znaczenie może mieć nie tylko samo zdarzenie, ale również możliwość wykazania, że administrator rzeczywiście monitorował i ograniczał ryzyko.

Relacja RODO do innych obowiązków sektorowych

Ta sama sytuacja może uruchomić obowiązki na podstawie odrębnych przepisów sektorowych, np. dotyczących bezpieczeństwa teleinformatycznego czy usług finansowych. Należy rozdzielić przedmiot zawiadomienia, adresata i terminy poszczególnych procedur, ponieważ zgłoszenie w jednym systemie nie musi zastępować zgłoszenia w innym. Zależności te wymagają indywidualnej kwalifikacji charakteru działalności administratora.

• RODO – rozporządzenie (UE) 2016/679
• EROD, wytyczne 9/2022 dotyczące zgłaszania naruszeń
• UODO – zgłaszanie naruszeń