Wyciek danych w firmie: 3 rzeczy, które musisz zrobić od razu

Zdjęcie: Wyciek danych w firmie: 3 rzeczy, które musisz zrobić od razu

Kogo dotyczą obowiązki?

Obowiązki związane z naruszeniami ochrony danych dotyczą przede wszystkim dwóch kategorii podmiotów.

Administrator danych to podmiot, który decyduje o celach i sposobach przetwarzania danych osobowych. W praktyce będzie nim najczęściej przedsiębiorca w odniesieniu do danych swoich pracowników, klientów, kontrahentów, użytkowników serwisów internetowych czy kandydatów do pracy.

To administrator odpowiada za:

1. ocenę ryzyka związanego z naruszeniem,
2. decyzję czy naruszenie wymaga zgłoszenia Prezesowi UODO,
3. ewentualne zawiadomienie osób, których dane dotyczą,
4. dokumentowanie naruszenia i podjętych działań.

Podmiot przetwarzający to natomiast podmiot, który przetwarza dane osobowe w imieniu administratora, np. dostawca usług IT, operator systemu informatycznego, dostawca usług chmurowych lub zewnętrzny podmiot obsługujący określony proces.

Jeżeli naruszenie wystąpi u podmiotu przetwarzającego, jego podstawowym obowiązkiem jest poinformowanie administratora bez zbędnej zwłoki. To administrator dokonuje następnie oceny, czy konieczne jest zgłoszenie naruszenia organowi nadzorczemu.

Czym jest naruszenie ochrony danych osobowych?

Określenie „wyciek danych” ma charakter potoczny. W praktyce, zgodnie z art. 4 pkt 12 RODO, naruszeniem może być m.in.:

1. cyberatak prowadzący do przejęcia bazy danych,
2. wysłanie korespondencji zawierającej dane osobowe do niewłaściwego odbiorcy,
3. utrata lub kradzież urządzenia albo nośnika zawierającego dane, np. laptopa, telefonu lub pendrive’a,
4. uzyskanie dostępu do informacji przez osobę, która nie powinna mieć do nich dostępu.

3 najważniejsze działania po wykryciu incydentu

1. Powstrzymaj naruszenie i zabezpiecz informacje o zdarzeniu

Pierwszym krokiem powinno być ograniczenie skutków incydentu i zapobieżenie dalszemu naruszeniu.

W zależności od charakteru zdarzenia może to wymagać m.in. zablokowania przejętego konta, odłączenia zainfekowanego urządzenia od sieci, odebrania uprawnień dostępowych, zmiany haseł lub zabezpieczenia określonego systemu.

Równolegle należy ustalić podstawowe okoliczności zdarzenia, w szczególności:

• kiedy doszło do naruszenia i kiedy firma je stwierdziła,
• jakie dane zostały objęte incydentem,
• jakich kategorii osób dotyczą,
• jaka jest przybliżona liczba osób objętych naruszeniem,
• kto mógł uzyskać nieuprawniony dostęp do danych,
• jakie mogą być konsekwencje zdarzenia dla osób, których dane dotyczą.

Szczególne znaczenie ma prawidłowe ustalenie momentu stwierdzenia naruszenia, ponieważ od tego momentu może rozpocząć się bieg 72-godzinnego terminu na zgłoszenie naruszenia organowi nadzorczemu.

2. Oceń ryzyko i ustal, czy trzeba zgłosić naruszenie do Prezesa UODO

Nie każde naruszenie ochrony danych wymaga zgłoszenia Prezesowi UODO.

Administrator nie ma takiego obowiązku, o ile jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Jeżeli jednak takie ryzyko występuje, naruszenie należy zgłosić Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia.

Jeżeli zgłoszenie nastąpi po upływie tego terminu, należy wyjaśnić przyczyny opóźnienia.

Zgodnie z art. 33 RODO zgłoszenie powinno obejmować co najmniej:

1. opis charakteru naruszenia,
2. dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego, od którego można uzyskać dalsze informacje,
3. opis możliwych konsekwencji naruszenia,
4. opis środków zastosowanych lub planowanych w celu zaradzenia naruszeniu i ograniczenia jego negatywnych skutków.

Ważne jest to, iż brak pełnych informacji na początku analizy nie musi uzasadniać wstrzymania zgłoszenia. RODO dopuszcza możliwość sukcesywnego przekazywania informacji, o ile nie można ich przedstawić jednocześnie.

Oznacza to, iż przedsiębiorca nie powinien automatycznie oczekiwać na zakończenie pełnej analizy technicznej, o ile termin 72 godzin już biegnie.

3. Sprawdź, czy trzeba zawiadomić osoby, których dane dotyczą

Zgłoszenie naruszenia Prezesowi UODO i poinformowanie osób dotkniętych incydentem to dwa odrębne obowiązki.

Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator powinien bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą.

Może chodzić w szczególności o sytuacje, w których ujawnione dane mogą zostać wykorzystane do kradzieży tożsamości, oszustwa, poniesienia strat finansowych lub innego poważnego naruszenia prywatności.

Zawiadomienie powinno być sformułowane jasnym i prostym językiem. Powinno obejmować co najmniej:

1. opis charakteru naruszenia,
2. dane kontaktowe umożliwiające uzyskanie dodatkowych informacji,
3. opis możliwych konsekwencji zdarzenia,
4. informację o środkach zastosowanych lub planowanych w celu ograniczenia skutków naruszenia.

W praktyce warto również wskazać osobom dotkniętym incydentem, jakie działania mogą podjąć samodzielnie dla ochrony swoich interesów, o ile jest to uzasadnione charakterem naruszenia.

Kiedy zawiadomienie osób nie jest wymagane?

RODO przewiduje sytuacje, w których administrator nie musi indywidualnie zawiadamiać osób, których dane zostały naruszone.

Dotyczy to w szczególności przypadków, gdy:

1. administrator zastosował odpowiednie środki techniczne i organizacyjne, które skutecznie uniemożliwiają osobom nieuprawnionym odczyt danych, np. adekwatne szyfrowanie,
2. po zdarzeniu wdrożono środki eliminujące prawdopodobieństwo wystąpienia wysokiego ryzyka,
3. indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku – w takim przypadku konieczne jest jednak zastosowanie publicznego komunikatu lub innego równie skutecznego sposobu poinformowania zainteresowanych osób.

Należy również pamiętać, iż o ile administrator nie zawiadomi osób, których dane dotyczą, Prezes UODO może – po dokonaniu własnej oceny – zażądać wykonania tego obowiązku.

Każde stwierdzone naruszenie trzeba udokumentować

Obowiązek dokumentacyjny istnieje niezależnie od tego, czy dane naruszenie zostało zgłoszone Prezesowi UODO albo czy konieczne było zawiadomienie osób, których dane dotyczą.

Zgodnie z art. 33 ust. 5 RODO administrator powinien dokumentować wszelkie naruszenia ochrony danych osobowych.

Dokumentacja powinna obejmować:

1. okoliczności naruszenia,
2. jego skutki,
3. podjęte działania zaradcze.

Powinna być prowadzona w taki sposób, aby organ nadzorczy mógł zweryfikować, czy administrator prawidłowo wykonał obowiązki wynikające z RODO.

Co grozi za brak wykonania obowiązku?

Niewykonanie obowiązków związanych z naruszeniem ochrony danych może skutkować podjęciem przez Prezesa UODO działań nadzorczych, w tym nałożeniem administracyjnej kary pieniężnej. Zgodnie z art. 83 ust. 4 lit. a RODO, naruszenie obowiązków wynikających z RODO przez przedsiębiorców może podlegać karze do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

Prezes UODO może również, na podstawie art. 58 ust. 2 RODO, zastosować inne środki naprawcze, w tym nakazać zawiadomienie osób, których dane dotyczą. Dodatkowo, zgodnie z art. 82 RODO, osoba, która poniosła szkodę wskutek naruszenia przepisów, może dochodzić odszkodowania.

Co warto wdrożyć w firmie?

Sprawne zarządzanie incydentem jest znacznie łatwiejsze, o ile przedsiębiorstwo posiada wcześniej przygotowaną procedurę reagowania na naruszenia ochrony danych.

Taka procedura powinna określać przede wszystkim:

1. sposób wewnętrznego zgłaszania incydentów,
2. osoby odpowiedzialne za ich analizę,
3. zasady podejmowania decyzji o zgłoszeniu do Prezesa UODO,
4. sposób dokumentowania naruszeń,
5. zasady współpracy osób odpowiedzialnych za IT, kwestie prawne, ochronę danych i zarządzanie organizacją.

Ma to szczególne znaczenie ze względu na krótki, 72-godzinny termin przewidziany na zgłoszenie naruszenia organowi nadzorczemu.

Podsumowanie

Po stwierdzeniu naruszenia ochrony danych przedsiębiorca powinien działać równolegle na kilku poziomach: ograniczyć skutki zdarzenia, ustalić jego zakres, ocenić ryzyko, podjąć decyzję o zgłoszeniu do Prezesa UODO oraz sprawdzić, czy konieczne jest poinformowanie osób, których dane dotyczą.

Każde stwierdzone naruszenie powinno również zostać odpowiednio udokumentowane.

Największe trudności pojawiają się zwykle przy ocenie poziomu ryzyka, ustaleniu momentu stwierdzenia naruszenia oraz podjęciu decyzji, czy zachodzą przesłanki zgłoszenia lub zawiadomienia osób fizycznych. W przypadku bardziej złożonych incydentów warto przeprowadzić analizę prawną możliwie szybko, tak aby nie dopuścić do przekroczenia terminów wynikających z RODO.

W razie pytań, a także pomysłów tematów na kolejne wydania Newsletter’a zapraszamy do kontaktu:

[email protected]