Naruszenie ochrony danych osobowych – krok po kroku
Naruszenie ochrony danych osobowych może zdarzyć się nawet w najlepiej zabezpieczonych organizacjach. Może wynikać z cyberataku, błędu ludzkiego, awarii systemów lub utraty nośników. Kluczowe jest jednak nie to, czy incydent wystąpi, ale jak firma na niego zareaguje. RODO jasno określa obowiązki administratora i procesora danych w takich sytuacjach. Poniżej przedstawiamy krok po kroku, jak postępować.
Przykładu naruszeń ochrony danych osobowych
- Niezamierzone ujawnienie danych poprzez wysłanie dokumentów do niewłaściwej osoby.
- Utrata nośników z danymi (np. pendrive, laptop) w wyniku kradzieży.
- Nieuprawniony dostęp do bazy danych.
- Nielegalne udostępnienie danych osobowych przez osobę do tego nieuprawnioną.
Zatrzymaj incydent i zabezpiecz dowody
Pierwszym działaniem jest natychmiastowe powstrzymanie skutków incydentu – np. odłączenie zainfekowanego serwera, zablokowanie konta czy wstrzymanie wadliwego procesu. Równie ważne jest zabezpieczenie dowodów: logów, kopii plików czy zrzutów pamięci. To pozwoli na późniejszą analizę i może okazać się niezbędne przy ewentualnym postępowaniu przed UODO.
Dokonaj wstępnej kwalifikacji zdarzenia
Kolejny krok to ocena rodzaju naruszenia ochrony danych osobowych. Należy ustalić, czy dotyczy ono poufności, integralności, czy dostępności danych. Ważne jest także określenie kategorii i zakresu danych, liczby osób, których naruszenie dotyczy, oraz ocena, czy zastosowano zabezpieczenia, takie jak szyfrowanie.
Naruszenie ochrony danych osobowych – ocena ryzyka
RODO nakazuje zgłaszanie naruszeń, które mogą powodować ryzyko naruszenia praw lub wolności osób fizycznych. Administrator musi więc oszacować poziom ryzyka:
- jeśli ryzyko istnieje – zgłoszenie do Prezesa UODO musi nastąpić bez zbędnej zwłoki, maksymalnie w ciągu 72 godzin od stwierdzenia incydentu;
- jeśli ryzyko jest wysokie – oprócz zgłoszenia do organu należy niezwłocznie poinformować osoby, których dane dotyczą;
- jeśli ryzyka nie ma – nie ma obowiązku zgłoszenia, ale incydent należy odnotować w wewnętrznym rejestrze.
Warto pamiętać, że gdy incydent dotyczy podmiotu przetwarzającego, jego obowiązkiem jest natychmiastowe powiadomienie administratora danych, który decyduje o dalszych krokach.
Kto jest odpowiedzialny za zgłoszenie do UODO?
Zawiadomienie do UODO w sprawie naruszenia ochrony danych osobowych składane jest przez Administratora danych firmy i powinno zawierać opis charakteru naruszenia, dane kontaktowe inspektora ochrony danych lub innej osoby odpowiedzialnej, wskazanie możliwych konsekwencji naruszenia oraz opis środków zaradczych podjętych lub planowanych. Jeśli w ciągu 72 godzin nie uda się zebrać pełnych informacji, można złożyć wstępne zgłoszenie i uzupełnić je później.
Zawiadomienie osób, których dane dotyczą
Jeśli naruszenie stwarza wysokie ryzyko, osoby muszą zostać poinformowane w jasny i zrozumiały sposób. Komunikat powinien wyjaśniać, co się stało, jakie dane wyciekły, jakie mogą być potencjalne skutki, jakie działania podjęła organizacja i co powinny zrobić same osoby (np. zmiana hasła, zachowanie ostrożności wobec prób phishingu). Niezbędne jest również wskazanie danych kontaktowych inspektora ochrony danych.
Dokumentowanie naruszeń
Niezależnie od tego, czy incydent został zgłoszony do UODO i osób, czy nie, administrator ma obowiązek prowadzenia rejestru naruszeń. Powinien on zawierać m.in. datę, charakter zdarzenia, ocenę ryzyka, podjęte decyzje i zastosowane środki. To dowód, że organizacja działała zgodnie z RODO.
Działania naprawcze i prewencja
Po usunięciu skutków naruszenia przychodzi czas na analizę przyczyn i wdrożenie działań naprawczych. Mogą to być dodatkowe zabezpieczenia techniczne, aktualizacje procedur, zmiana konfiguracji systemów czy szkolenia pracowników. Incydent to także okazja do wyciągnięcia wniosków i wzmocnienia organizacji na przyszłość.
Podsumowanie
Naruszenie ochrony danych osobowych to sytuacja stresująca i ryzykowna, ale dobrze przygotowana organizacja jest w stanie zareagować sprawnie i zgodnie z prawem. Najważniejsze zasady to: szybkie działanie, właściwa ocena ryzyka, terminowe zgłoszenia, rzetelna komunikacja z osobami oraz dokumentowanie całego procesu. Sprawdź, jak możemy Ci pomóc w zakresie obsługi naruszenia ochrony danych osobowych.
