Błąd pracownika czy błąd organizacji? Kto odpowiada za naruszenie ochrony danych i jak reagować w praktyce

Dlaczego pojedyncza pomyłka rzadko ma jedną przyczynę – i czego organizacja powinna nauczyć się po naruszeniu

Pracownik działu kadr wydaje pracownikowi dokumenty przygotowane dla innej osoby. W komplecie znajdują się dane identyfikacyjne, informacje o zatrudnieniu, wynagrodzeniu i numerze rachunku bankowego. Pomyłka zostaje zauważona po kilkunastu minutach, a dokumenty wracają do organizacji. Czy odpowiada wyłącznie osoba, która wydała niewłaściwy komplet, czy także organizacja, która zaprojektowała proces wydawania dokumentacji pracowniczej?

Profesjonalna odpowiedź nie zaczyna się od wskazania winnego. Najpierw trzeba ustalić, co dokładnie się wydarzyło, czy doszło do naruszenia ochrony danych osobowych, jakie ryzyko powstało dla osób oraz czy zastosowane zabezpieczenia były adekwatne do przewidywalnego ryzyka.

Najważniejsza zasada: pracownik może być bezpośrednim sprawcą pomyłki, ale odpowiedzialność organizacji ocenia się przez pryzmat całego systemu – analizy ryzyka, procedur, uprawnień, zabezpieczeń, szkoleń, reakcji na zdarzenie i zdolności do wykazania podjętych decyzji.

Pomyłka pracownika to początek analizy, nie jej koniec

Przypadek wydania niewłaściwego kompletu dokumentów nie powinien prowadzić od razu do pytania: „kto zawinił?”. Najpierw trzeba rozdzielić trzy odrębne kwestie: kwalifikację zdarzenia, odpowiedzialność organizacji oraz ocenę zachowania pracownika.

1. Czy doszło do naruszenia ochrony danych osobowych?

Błąd opisuje zachowanie człowieka. Naruszenie ochrony danych osobowych jest natomiast zdarzeniem dotyczącym bezpieczeństwa danych, które prowadzi między innymi do ich nieuprawnionego ujawnienia lub dostępu.

Jeżeli dokumenty przygotowane dla jednego pracownika zostały wydane innej osobie, która nie była uprawniona do ich otrzymania, co do zasady doszło do naruszenia poufności. To, że dokumenty wróciły do organizacji po kilkunastu minutach, nie powoduje, że zdarzenie przestaje istnieć. Ma jednak znaczenie przy ocenie jego skutków, ryzyka dla osoby, której dane dotyczą, oraz dalszych obowiązków administratora.

Należy więc ustalić między innymi:

• czy odbiorca zapoznał się z dokumentami lub wykonał ich kopię,
• jakie kategorie danych znajdowały się w komplecie,
• czy można wiarygodnie potwierdzić zwrot wszystkich dokumentów,
• czy odbiorca potwierdził, że nie sporządził kopii dokumentów, nie utrwalił ich treści ani nie przekazał informacji dalej,
• jakie mogą być konsekwencje dla pracownika, którego dane ujawniono.

2. Czy organizacja właściwie zaprojektowała i zabezpieczyła proces?

To, że doszło do naruszenia ochrony danych, nie oznacza jeszcze, że administrator zastosował niewłaściwe środki bezpieczeństwa. Trzeba jednak ocenić, czy proces został prawidłowo zaprojektowany, zastosowane zabezpieczenia odpowiadały ryzyku, a pracownicy mieli realną możliwość przestrzegania obowiązujących zasad.

W opisanym przypadku nie wystarczy zatem stwierdzić, że pracownik „pomylił dokumenty”. Trzeba sprawdzić, jak został zaprojektowany cały proces ich przygotowywania i wydawania:

• czy komplety były jednoznacznie oznaczone,
• czy przed wydaniem weryfikowano tożsamość odbiorcy,
• czy pracownik miał obowiązek porównać dane na dokumentach z danymi osoby odbierającej,
• czy różne komplety dokumentów były odpowiednio oddzielone,
• czy instrukcja była jasna i możliwa do zastosowania w rzeczywistych warunkach pracy,
• czy presja czasu lub organizacja stanowiska zwiększały ryzyko pomyłki,
• czy podobne zdarzenia występowały wcześniej i czy wyciągnięto z nich wnioski.

Dopiero taka analiza pozwala ocenić, czy była to jednostkowa pomyłka mimo prawidłowo zaprojektowanych zabezpieczeń, czy też błąd pracownika ujawnił słabość całego procesu.

3. Czy pracownik może ponieść konsekwencje?

To odrębne pytanie, którego nie należy rozstrzygać przed ustaleniem faktów i zabezpieczeniem interesów osób, których dane dotyczą.

Znaczenie mogą mieć między innymi:

• jasność obowiązujących instrukcji,
• przeszkolenie pracownika,
• możliwość zastosowania procedury w praktyce,
• stopień niedbalstwa,
• powtarzalność podobnych zachowań,
• wcześniejsze ostrzeżenia,
• skala skutków,
• niezwłoczne zgłoszenie pomyłki,
• współpraca przy ograniczaniu jej konsekwencji.

Odzyskanie dokumentów ogranicza skutki zdarzenia, ale nie kończy jego analizy. Organizacja nadal musi ustalić fakty, udokumentować zdarzenie i ocenić ryzyko. Dopiero później można rozważać odpowiedzialność pracownika.

Co wynika z wyroku TSUE w sprawie MediaMarktSaturn?

Sprawa C – 687/21 dotyczyła omyłkowego wydania innemu klientowi zakupionego sprzętu gospodarstwa domowego oraz dokumentów zawierających dane osoby, która zawarła umowę sprzedaży i umowę kredytu. Dokumenty obejmowały między innymi dane identyfikacyjne, adres, informacje o zatrudnieniu, dochodach i rachunku bankowym. Odzyskano je wraz ze sprzętem w ciągu około pół godziny.

Trybunał Sprawiedliwości Unii Europejskiej wskazał, że sam błąd pracownika nie wystarcza do automatycznego uznania środków technicznych i organizacyjnych zastosowanych przez administratora za nieodpowiednie. Ich adekwatność należy oceniać konkretnie, z uwzględnieniem charakteru przetwarzania, związanych z nim zagrożeń oraz dowodów przedstawionych przez administratora.

Jednocześnie omyłkowe przekazanie dokumentów osobie nieuprawnionej może wskazywać na zaniedbanie lub wadę organizacyjną. Organizacja nie może więc zakończyć analizy na stwierdzeniu, że „pracownik się pomylił”. Powinna wykazać, jak zaprojektowała proces, jakie ryzyka rozpoznała i jakie zabezpieczenia funkcjonowały przed zdarzeniem. Z perspektywy rozliczalności powinna również ustalić, czy incydent uzasadnia zmianę procedur, organizacji pracy lub stosowanych zabezpieczeń.

Z perspektywy organizacji najważniejszy jest jednak inny wniosek: po błędzie pracownika należy zbadać nie tylko jego zachowanie, lecz także sposób zaprojektowania i zabezpieczenia całego procesu.

Kto odpowiada po zdarzeniu?

Obowiązki są rozłożone pomiędzy kilka ról, ale ich podział wewnętrzny nie przenosi odpowiedzialności administratora wynikającej z RODO.

Administrator: odpowiada za ocenę, decyzje i rozliczalność

Administrator powinien wdrożyć adekwatne środki bezpieczeństwa, zorganizować proces reakcji i udokumentować ocenę zdarzenia. Odpowiada za dokonanie i uzasadnienie kwalifikacji, czy zdarzenie stanowi naruszenie ochrony danych oraz czy powstają obowiązki zgłoszenia Prezesowi UODO i zawiadomienia osób, których dane dotyczą.

Pracownik: stosuje zasady i niezwłocznie zgłasza zdarzenie

Osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego powinna przetwarzać dane zgodnie z instrukcjami. Po wykryciu pomyłki jej kluczowym obowiązkiem jest szybkie i rzetelne zgłoszenie, zachowanie dowodów oraz współpraca przy ograniczaniu skutków. Próba samodzielnego ukrycia lub „naprawienia” zdarzenia może zwiększyć ryzyko i utrudnić dotrzymanie terminów.

Podmiot przetwarzający: informuje administratora i wspiera analizę

Jeżeli zdarzenie wystąpiło po stronie podmiotu przetwarzającego, powinien on bez zbędnej zwłoki poinformować administratora, przekazać informacje potrzebne do oceny i podjąć działania ograniczające skutki w swoim środowisku. Ostateczna kwalifikacja naruszenia oraz decyzje dotyczące zgłoszenia i zawiadomienia osób co do zasady pozostają po stronie administratora.

IOD: doradza i monitoruje, ale nie przejmuje decyzji administratora

Inspektor ochrony danych powinien zostać włączony odpowiednio wcześnie. Może wspierać kwalifikację zdarzenia, ocenę ryzyka, dokumentację i przygotowanie zgłoszenia. Nie powinien jednak być przedstawiany jako osoba, która samodzielnie zatwierdza decyzję lub przejmuje za nią odpowiedzialność.

Czy to był wyłącznie błąd pracownika? Test odpowiedzialności organizacyjnej

Test stosujemy po konkretnym zdarzeniu. Nie zastępuje analizy prawnej ani oceny ryzyka, ale porządkuje najważniejsze pytania przed przypisaniem całej odpowiedzialności jednej osobie.

1. Czy ryzyko było przewidywalne?

Omyłkowe wysyłki, wydanie niewłaściwych dokumentów, pozostawienie wydruków, utrata urządzenia czy kliknięcie w phishing są znanymi scenariuszami. Jeżeli podobna pomyłka była racjonalnie możliwa w danym procesie, powinna zostać uwzględniona w analizie ryzyka i projektowaniu zabezpieczeń.

2. Czy zasady były jasne i możliwe do zastosowania?

Ogólne szkolenie i podpisane upoważnienie nie dowodzą jeszcze, że pracownik wiedział, co zrobić w konkretnej sytuacji. Trzeba sprawdzić, czy instrukcja była jednoznaczna, dostępna i realna do zastosowania przy obowiązującym tempie oraz organizacji pracy.

3. Czy system ograniczał możliwość lub skutki błędu?

Bezpieczeństwo nie powinno opierać się wyłącznie na uważności człowieka. W zależności od ryzyka organizacja może stosować weryfikację odbiorcy, zasadę podwójnej kontroli, szyfrowanie, ograniczenie autouzupełniania adresów, mechanizmy DLP, kontrolę wydruku, potwierdzenie operacji wysokiego ryzyka albo rozdzielenie dokumentów.

4. Czy dostęp i zakres danych były proporcjonalne?

Pomyłka ma poważniejsze skutki, gdy pracownik ma dostęp do danych, których nie potrzebuje, może eksportować pełne bazy albo przekazać cały plik, mimo że do celu wystarczył niewielki zakres. Analiza powinna obejmować minimalizację danych, model uprawnień i ograniczenia funkcjonalne systemu.

5. Czy organizacja uczyła się z wcześniejszych sygnałów?

Powtarzające się drobne pomyłki, reklamacje, niezgłoszone incydenty i obserwacje z audytów są informacjami o ryzyku. Jeżeli organizacja znała problem, ale nie zmieniła procesu, szkolenia ani zabezpieczeń, kolejnego zdarzenia nie można uczciwie opisać wyłącznie jako indywidualnego błędu.

Wniosek: Im więcej odpowiedzi „nie”, tym mniej wiarygodne jest twierdzenie, że organizacja miała do czynienia wyłącznie z jednostkową pomyłką. Niezależnie od oceny pracownika należy wtedy zidentyfikować i usunąć przyczyny systemowe.

Co zrobić w pierwszych godzinach po błędzie pracownika?

Pierwsze działania powinny chronić osoby, ograniczać skutki i zabezpieczać materiał potrzebny do oceny. Poszukiwanie winnego na tym etapie zwykle przeszkadza w prawidłowej reakcji.

1. Ogranicz incydent

Zatrzymaj dalszą wysyłkę, zablokuj link, odbierz dostęp, odłącz urządzenie od sieci, odzyskaj dokumenty albo skontaktuj się z nieuprawnionym odbiorcą. Działanie powinno być adekwatne i nie może prowadzić do niszczenia dowodów.

2. Zabezpiecz dowody i chronologię

Zachowaj wiadomości, załączniki, logi, kopie dokumentów, dane odbiorców oraz informacje o czasie wykrycia i podjętych działaniach. Należy ustalić moment, w którym administrator uzyskał wystarczający stopień pewności, że doszło do naruszenia ochrony danych osobowych – od tego momentu liczy się termin zgłoszenia.

3. Ustal fakty bez przedwczesnego przypisywania winy

Określ zakres danych, liczbę osób, odbiorców, czas trwania, możliwość skopiowania lub wykorzystania danych, działające zabezpieczenia i podjęte środki zaradcze. Rozmowa z pracownikiem powinna służyć odtworzeniu przebiegu, a nie wymuszeniu szybkiego przyznania winy.

4. Zakwalifikuj zdarzenie

Ustal, czy incydent dotyczył danych osobowych i czy prowadził lub mógł prowadzić do utraty poufności, integralności albo dostępności. Nie każdy incydent bezpieczeństwa stanowi naruszenie ochrony danych osobowych. Każdy incydent dotyczący danych osobowych powinien jednak zostać przeanalizowany, a każde stwierdzone naruszenie – odpowiednio udokumentowane.

5. Oceń ryzyko dla praw lub wolności osób

Uwzględnij nie tylko kategorię danych, ale też ich zakres, liczbę osób, możliwość identyfikacji, charakter odbiorcy, czas trwania, zabezpieczenia oraz potencjalne skutki, takie jak oszustwo, strata finansowa, dyskryminacja, naruszenie tajemnicy, utrata kontroli nad danymi czy szkoda dla reputacji.

Potwierdzenie usunięcia danych przez znanego odbiorcę może zmniejszać ryzyko, lecz nie kończy automatycznie analizy. Trzeba ocenić wiarygodność odbiorcy, możliwość wykonania kopii i realną skuteczność działań ograniczających.

6. Podejmij i udokumentuj decyzje

Jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób, administrator zgłasza je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia. Jeżeli ryzyko jest wysokie, należy również bez zbędnej zwłoki zawiadomić osoby, których dane dotyczą, chyba że zachodzi przesłanka wyłączająca ten obowiązek.

Brak pełnych informacji nie zawsze uzasadnia oczekiwanie. Możliwe jest zgłoszenie wstępne i późniejsze uzupełnienie danych. Każde naruszenie należy udokumentować wraz z okolicznościami, oceną ryzyka, działaniami zaradczymi i uzasadnieniem decyzji o zgłoszeniu albo niezgłoszeniu.

Trzy scenariusze – trzy różne wnioski

Scenariusz 1. Jednorazowa pomyłka mimo racjonalnych zabezpieczeń

Pracownik wybiera niewłaściwy dokument mimo jasnej procedury, szkolenia i rozdzielenia dokumentacji. Natychmiast zgłasza zdarzenie, a organizacja szybko odzyskuje dokument od znanego odbiorcy i dokumentuje ocenę ryzyka. Sam błąd nie przesądza, że administrator naruszył RODO. Znaczenie mają wcześniejsze zabezpieczenia, proporcjonalność środków i jakość reakcji.

Scenariusz 2. Pomyłka ułatwiona przez wadliwy proces

Pracownik wysyła arkusz wynagrodzeń do niewłaściwego adresata. Pomyłkę ułatwiło automatyczne podpowiadanie adresów oraz brak zasady dodatkowej weryfikacji odbiorcy. Błąd popełnił pracownik, ale organizacja powinna zbadać również sposób zaprojektowania procesu wysyłki dokumentów zawierających dane płacowe.

Scenariusz 3. Świadome działanie poza zakresem upoważnienia

Pracownik, mimo jednoznacznego zakazu i wcześniejszych ostrzeżeń, kopiuje bazę klientów na prywatny nośnik albo wykorzystuje dane po zakończeniu zatrudnienia. Znaczenie odpowiedzialności indywidualnej jest tu większe. Nadal jednak należy ocenić model uprawnień, monitorowanie eksportu danych, procedurę odebrania dostępów i reakcję na wcześniejsze sygnały.

Co administrator powinien umieć wykazać po incydencie?

Zasada rozliczalności wymaga czytelnego śladu decyzyjnego. Dokumentacja powinna obejmować zarówno stan przed zdarzeniem, jak i reakcję po jego wykryciu:

• analizę ryzyka dla procesu, w którym wystąpił błąd;
• obowiązujące procedury, szkolenia, upoważnienia i zabezpieczenia techniczne;
• chronologię wykrycia, stwierdzenia i ograniczenia naruszenia;
• ustalenia dotyczące danych, osób, odbiorców i możliwych skutków;
• uzasadnioną ocenę ryzyka dla praw lub wolności osób;
• decyzję o zgłoszeniu lub niezgłoszeniu oraz o zawiadomieniu lub niezawiadomieniu osób;
• działania naprawcze, ich właścicieli, terminy i późniejszą weryfikację skuteczności.

Dokumentacja nie powinna powstawać wyłącznie na potrzeby ewentualnej kontroli. Jej podstawową funkcją jest zapewnienie, że organizacja podejmuje decyzje w sposób powtarzalny, potrafi je uzasadnić i usuwa rzeczywiste przyczyny zdarzeń.

Czy organizacja jest przygotowana na błąd pracownika?

Test odpowiedzialności organizacyjnej pomaga przeanalizować konkretne zdarzenie już po jego wystąpieniu. Wcześniej warto jednak sprawdzić, czy organizacja stworzyła warunki umożliwiające szybką reakcję, prawidłową ocenę naruszenia i ograniczenie jego skutków.

• Czy pracownicy wiedzą, gdzie i w jaki sposób zgłosić zdarzenie, również poza standardowymi godzinami pracy?
• Czy zgłoszenie uruchamia jasno określony proces, a osoby odpowiedzialne za działania znają swoje role?
• Czy organizacja posiada sposób kwalifikowania zdarzeń i oceny ryzyka dla praw lub wolności osób, których dane dotyczą?
• Czy określono, kiedy należy włączyć IOD, a podmioty przetwarzające wiedzą, jak szybko i w jakim zakresie powinny przekazać informacje o zdarzeniu?
• Czy organizacja potrafi ustalić moment stwierdzenia naruszenia i kontrolować bieg terminu 72 godzin?
• Czy decyzje o niezgłoszeniu naruszenia lub niezawiadomieniu osób są uzasadniane i dokumentowane?
• Czy po zdarzeniu analizowane są nie tylko działania pracownika, lecz także przyczyny systemowe, a skuteczność wdrożonych zmian jest później sprawdzana?

Im więcej odpowiedzi brzmi „nie” albo „nie wiem”, tym większe ryzyko, że po błędzie pracownika organizacja skupi się na poszukiwaniu winnego, zamiast sprawnie ograniczyć skutki zdarzenia i wykazać prawidłowość swoich działań.

Najgroźniejszy nie jest sam błąd, lecz kultura jego ukrywania

Z doświadczeń audytowych DSO Consulting wynika, że jednym z najpoważniejszych problemów jest brak bezpiecznego i szybkiego sposobu zgłaszania pomyłek. Pracownik obawiający się automatycznej kary może próbować samodzielnie odzyskać wiadomość, usuwać ślady albo opóźniać przekazanie informacji. W tym czasie rośnie skala incydentu, a organizacja traci możliwość szybkiego ograniczenia skutków.

Dojrzały system nie oznacza braku odpowiedzialności. Oznacza właściwą kolejność: najpierw zgłoszenie, ochrona osób, ograniczenie skutków i zabezpieczenie dowodów; następnie kwalifikacja, ocena ryzyka i decyzje; dopiero później analiza przyczyn oraz ewentualnych konsekwencji indywidualnych.

Podsumowanie: odpowiedzialność zaczyna się tam, gdzie kończy się proste wskazanie winnego

Błąd pracownika może być bezpośrednią przyczyną naruszenia ochrony danych, ale nie rozstrzyga samodzielnie o odpowiedzialności organizacji. Administrator powinien wykazać, że ryzyko zostało rozpoznane, zasady były jasne, dostęp i zakres danych proporcjonalne, zabezpieczenia adekwatne, a reakcja po zdarzeniu szybka i udokumentowana.

Profesjonalna analiza odpowiada jednocześnie na dwa pytania: co zrobił pracownik oraz co organizacja zrobiła przed zdarzeniem, aby ograniczyć ryzyko, i po zdarzeniu, aby ochronić osoby oraz zapobiec powtórzeniu problemu.

Jeżeli po incydencie organizacja potrafi wskazać wyłącznie osobę, która popełniła błąd, ale nie potrafi wykazać adekwatności zabezpieczeń, chronologii decyzji, oceny ryzyka i działań naprawczych, warto zweryfikować cały proces reagowania na naruszenia. DSO Consulting może wesprzeć organizację poprzez audyt procesu obsługi naruszeń, konsultację IOD w konkretnej sprawie albo pełny audyt zgodności i bezpieczeństwa przetwarzania danych.