Phishing pracownika jako incydent danych: kiedy zgłosić naruszenie

Kliknięcie w fałszywy link nie zawsze oznacza zgłaszalne naruszenie danych, ale może prowadzić do przejęcia konta i nieuprawnionego dostępu. Najpierw potrzebna jest ocena faktów i ryzyka.

Podstawa oceny i kwalifikacja zdarzenia

Należy odtworzyć chronologię wiadomości, działania użytkownika, uruchomione sesje, logowania, pobrane pliki i ewentualną zmianę uprawnień. Samo wykrycie podejrzanej wiadomości i potwierdzone ujawnienie danych to różne sytuacje prawne.

Obowiązki organizacyjne i dowody

W razie naruszenia ochrony danych osobowych administrator dokonuje oceny ryzyka dla praw lub wolności osób. Art. 33 RODO reguluje zgłoszenie organowi nadzorczemu, a art. 34 odrębnie odnosi się do zawiadomienia osób przy wysokim ryzyku. Terminy nie mogą być sztucznie opóźniane przez oczekiwanie na pełną ekspertyzę techniczną.

Postępowanie praktyczne i konsekwencje

W pierwszych godzinach należy ograniczyć sesje i tokeny dostępu, zabezpieczyć logi, ustalić dane objęte zdarzeniem i prowadzić dokumentację. Raport techniczny powinien dostarczyć faktów do odrębnej kwalifikacji prawnej, a nie zastępować tej kwalifikacji.

Przykład zastosowania

Po fałszywej wiadomości pracownik ujawnił hasło. Administrator ustala, czy wystąpiły logowania i dostęp do danych, a następnie ocenia obowiązek zgłoszenia.

Model postępowania zgodny z zasadą rozliczalności

Działanie powinno obejmować identyfikację stanu faktycznego, mapę systemów i przepływu danych, kwalifikację prawną, decyzję organizacyjną i dokumentację jej wykonania. Nie można zastąpić tej sekwencji gotową formułką o zgodności z RODO. Dla każdej operacji należy określić cel, podstawę przetwarzania, dostępne zabezpieczenia i osobę odpowiedzialną za ich okresowy przegląd.

Podstawa prawna

Art. 4 pkt 12, art. 33–34 RODO. Urzędowy tekst rozporządzenia jest dostępny w EUR-Lex, a zakres stosowania należy zestawić z faktami i właściwymi regulacjami sektorowymi.