Jak zgłosić naruszenie danych osobowych do UODO

Zgubiony laptop, e-mail z listą klientów wysłany do złego adresata, ransomware szyfrujący bazę, teczka z aktami zostawiona w pociągu. Każde z tych zdarzeń może być naruszeniem ochrony danych osobowych — a wtedy uruchamia się jeden z najkrótszych terminów w całym RODO: 72 godziny. Firmy tracą je najczęściej na ustalanie, czy „to już naruszenie”. Wyjaśniam, jak działać, gdy zegar tyka.

Czym jest naruszenie ochrony danych

To naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Kluczowe: naruszenie to nie tylko wyciek. Utrata dostępu do danych (np. przez ransomware) i ich zniszczenie także się liczą.

• Naruszenie poufności — dane trafiły do osoby nieuprawnionej.
• Naruszenie integralności — dane zostały nieuprawnienie zmienione.
• Naruszenie dostępności — dane utracono lub czasowo utracono do nich dostęp.

72 godziny — od kiedy liczyć

Termin biegnie od stwierdzenia naruszenia, czyli od chwili, w której administrator uzyskał wystarczającą pewność, że doszło do incydentu bezpieczeństwa dotyczącego danych osobowych. Nie od zakończenia analizy i nie od ustalenia wszystkich okoliczności. Jeśli zgłoszenie następuje po terminie, trzeba dołączyć wyjaśnienie przyczyn opóźnienia.

Kiedy zgłoszenie jest obowiązkowe

Nie każde naruszenie zgłasza się do UODO. Obowiązek powstaje, gdy jest prawdopodobne, że naruszenie skutkuje ryzykiem naruszenia praw lub wolności osób fizycznych. Zgłoszenia nie trzeba składać tylko wtedy, gdy jest mało prawdopodobne, by takie ryzyko wystąpiło.

Ocenę ryzyka przeprowadzasz, biorąc pod uwagę rodzaj naruszenia, kategorię i liczbę danych, łatwość identyfikacji osób, wagę możliwych konsekwencji oraz szczególne cechy osób, których dane dotyczą (np. dzieci).

Co musi zawierać zgłoszenie

1. Opis charakteru naruszenia, w tym kategorie i przybliżoną liczbę osób oraz wpisów danych, których dotyczy.
2. Imię, nazwisko i dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego.
3. Opis możliwych konsekwencji naruszenia.
4. Opis zastosowanych lub proponowanych środków w celu zaradzenia naruszeniu i minimalizacji jego skutków.

Zgłoszenie składa się do Prezesa Urzędu Ochrony Danych Osobowych — najwygodniej elektronicznie, przez formularz na stronie UODO lub przez ePUAP.

Kiedy trzeba zawiadomić osoby, których dane dotyczą

To odrębny obowiązek o wyższym progu. Zawiadomienie osób jest konieczne, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności. Komunikat musi być napisany jasnym i prostym językiem, opisywać charakter naruszenia, prawdopodobne konsekwencje, zastosowane środki oraz zawierać dane kontaktowe.

Zawiadomienie osób nie jest wymagane m.in. wtedy, gdy dane były zaszyfrowane, gdy administrator zastosował następcze środki eliminujące wysokie ryzyko albo gdy zawiadomienie wymagałoby niewspółmiernie dużego wysiłku (wtedy stosuje się publiczny komunikat).

Rejestr naruszeń — obowiązek, o którym się zapomina

Administrator dokumentuje wszelkie naruszenia ochrony danych — także te, których nie zgłasza do UODO. Rejestr musi obejmować okoliczności naruszenia, jego skutki i podjęte działania zaradcze, tak by organ nadzorczy mógł zweryfikować prawidłowość oceny ryzyka. Brak rejestru sam w sobie jest naruszeniem.

Procedura krok po kroku

1. Wykryj i natychmiast ogranicz skutki (odetnij dostęp, zmień hasła, wycofaj wiadomość).
2. Ustal fakty: co, kiedy, czyje dane, ile osób, jakie kategorie danych.
3. Oceń ryzyko dla praw i wolności osób fizycznych i udokumentuj tę ocenę.
4. Zgłoś do UODO w ciągu 72 godzin, jeśli ryzyko nie jest znikome.
5. Zawiadom osoby, gdy ryzyko jest wysokie.
6. Wpisz zdarzenie do rejestru naruszeń.
7. Wdróż działania naprawcze, by incydent się nie powtórzył.

Konsekwencje niezgłoszenia

Niezgłoszenie naruszenia albo zgłoszenie po terminie jest odrębnym naruszeniem RODO, zagrożonym administracyjną karą pieniężną. W praktyce UODO często traktuje surowiej samo zatajenie incydentu niż pierwotny błąd bezpieczeństwa, który do niego doprowadził.

Organy nadzorcze rozumieją, że incydenty się zdarzają. Nie rozumieją firm, które przez 72 godziny zastanawiały się, czy w ogóle o tym mówić.

Przy naruszeniu danych decydują pierwsze godziny: ograniczenie skutków, ocena ryzyka i terminowe zgłoszenie. W Legalify pomagamy przeprowadzić ocenę incydentu, przygotować zgłoszenie do UODO i wdrożyć procedury na przyszłość. Działamy z Wrocławia i zdalnie w całej Polsce — zadzwoń: +48 690 676 629.