Naruszenie ochrony danych osobowych – co firma powinna zrobić krok po kroku?

Pracownik wysyła wiadomość e-mail z załącznikiem zawierającym dane klientów do niewłaściwego adresata. Ktoś kradnie laptop służbowy. Firma odkrywa, że były pracownik nadal posiada dostęp do systemu CRM. Dochodzi do włamania na skrzynkę pocztową albo ataku ransomware. Dokument zawierający dane pracownika trafia do niewłaściwej osoby.

Każda z tych sytuacji może stanowić naruszenie ochrony danych osobowych. Nie oznacza to jednak, że każde zdarzenie trzeba automatycznie zgłosić Prezesowi Urzędu Ochrony Danych Osobowych. Nie każde naruszenie wymaga również informowania klientów lub pracowników.

RODO wymaga od firmy czegoś więcej niż zastosowania prostego schematu „wyciek danych = zgłoszenie do UODO”. Administrator powinien ustalić, co się wydarzyło, ograniczyć skutki zdarzenia, ocenić ryzyko dla osób, których dane dotyczą, a następnie zdecydować o dalszych działaniach.

Problem polega na tym, że na podjęcie części tych decyzji czasu jest niewiele.

Krok 1. Ustal, czy rzeczywiście doszło do naruszenia ochrony danych osobowych

Nie każdy incydent bezpieczeństwa jest naruszeniem danych osobowych.

RODO definiuje naruszenie ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych.

W praktyce można więc wyróżnić naruszenia dotyczące trzech podstawowych obszarów: poufności, integralności oraz dostępności danych.

Naruszeniem poufności może być przykładowo wysłanie listy klientów do niewłaściwego odbiorcy. Naruszeniem integralności – nieuprawniona zmiana danych w systemie. Naruszeniem dostępności może natomiast być utrata danych, do których firma nie może odzyskać dostępu.

To ważne, ponieważ naruszenie nie musi oznaczać spektakularnego „wycieku danych do internetu”.

Czasami zaczyna się od pozornie drobnego błędu: źle wpisanego adresu e-mail, pozostawionego dokumentu, niewłaściwie skonfigurowanych uprawnień albo zgubionego telefonu.

Pierwszym zadaniem firmy jest więc ustalenie: co się wydarzyło, kiedy do tego doszło i jakie dane zostały objęte zdarzeniem.

Krok 2. Natychmiast ogranicz skutki naruszenia

Analiza prawna nie powinna opóźniać działań technicznych.

Jeżeli pracownik wysłał dokument do niewłaściwej osoby, warto niezwłocznie skontaktować się z odbiorcą i zażądać usunięcia wiadomości oraz załącznika.

Jeżeli naruszenie dotyczy przejętego konta, należy zablokować dostęp, zmienić dane uwierzytelniające, zakończyć aktywne sesje i ustalić zakres działań wykonanych z wykorzystaniem konta.

Jeżeli zginął komputer lub telefon, trzeba sprawdzić możliwość zdalnego zablokowania lub usunięcia danych.

W przypadku ataku informatycznego konieczne może być odizolowanie określonych systemów, zabezpieczenie logów i innych dowodów oraz zaangażowanie specjalistów IT.

Na tym etapie liczy się szybkość. Naruszenie przypomina przeciek w instalacji wodnej – zanim zaczniemy ustalać, kto odpowiada za awarię, najpierw trzeba zakręcić zawór.

Jednocześnie należy uważać, aby działania naprawcze nie doprowadziły do zniszczenia informacji potrzebnych później do ustalenia przebiegu incydentu.

Krok 3. Ustal zakres naruszenia

Kolejny etap to zebranie informacji.

Firma powinna ustalić przede wszystkim:

• jakiego rodzaju dane zostały objęte naruszeniem,

• ilu osób dotyczy zdarzenie,

• ile rekordów mogło zostać ujawnionych, zmienionych lub utraconych,

• kto mógł uzyskać dostęp do danych,

• jak długo dane pozostawały dostępne,

• czy dane były zaszyfrowane,

• czy możliwe jest ich dalsze wykorzystanie,

• czy naruszenie zostało już skutecznie ograniczone.

Inaczej ocenimy omyłkowe ujawnienie służbowego adresu e-mail, a inaczej dokument zawierający PESEL, dane dotyczące zdrowia, informacje finansowe czy dane umożliwiające przejęcie konta.

Znaczenie ma również odbiorca danych. Wysłanie dokumentu do znanego kontrahenta, który natychmiast potwierdzi jego trwałe usunięcie, może powodować inne ryzyko niż publiczne udostępnienie tego samego dokumentu w internecie.

Krok 4. Ustal moment stwierdzenia naruszenia – od niego może biec 72 godziny

To jeden z najważniejszych elementów całej procedury.

RODO przewiduje, że administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki – w miarę możliwości nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia.

Nie oznacza to, że firma ma zawsze 72 godziny na spokojne rozpoczęcie analizy.

Procedura powinna działać od chwili otrzymania wiarygodnej informacji wskazującej, że mogło dojść do naruszenia. Nie należy również zakładać, że termin zacznie biec dopiero wtedy, gdy zarząd, prawnik lub inspektor ochrony danych otrzyma kompletny raport.

Dlatego w firmie powinien istnieć jasny mechanizm wewnętrznego zgłaszania incydentów, stanowiący element szerszego systemu ochrony danych i bezpieczeństwa informacji. Pracownik, który zauważy błąd, powinien wiedzieć, komu i w jaki sposób ma go natychmiast zgłosić.

W przypadku naruszeń czas jest jednym z najważniejszych zasobów.

Krok 5. Oceń ryzyko dla osób, których dane dotyczą

Samo stwierdzenie naruszenia nie przesądza jeszcze o obowiązku zgłoszenia go Prezesowi UODO.

Kluczowa jest ocena ryzyka naruszenia praw lub wolności osób fizycznych.

Trzeba zastanowić się, do czego zdarzenie może doprowadzić.

Skutkami mogą być między innymi kradzież tożsamości, oszustwo, strata finansowa, utrata poufności informacji, szkoda reputacyjna, dyskryminacja, przejęcie konta albo ujawnienie informacji, których dana osoba zasadnie nie chciałaby udostępniać innym.

Nie wystarczy przy tym stwierdzić: „nie mamy dowodów, że ktoś wykorzystał dane”.

Ocena ryzyka dotyczy również możliwych konsekwencji naruszenia.

Trzeba uwzględnić charakter danych, skalę zdarzenia, liczbę osób, możliwość identyfikacji poszkodowanych, okoliczności naruszenia oraz zastosowane zabezpieczenia.

W praktyce warto sporządzić pisemną ocenę ryzyka. Pozwala ona nie tylko podjąć decyzję, ale również później wykazać, dlaczego firma zgłosiła albo nie zgłosiła danego naruszenia.

Krok 6. Zdecyduj, czy naruszenie należy zgłosić Prezesowi UODO

Jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych, administrator powinien zgłosić je organowi nadzorczemu.

Jeżeli natomiast jest mało prawdopodobne, aby naruszenie skutkowało takim ryzykiem, zgłoszenie nie jest wymagane.

To istotne rozróżnienie.

RODO nie wprowadza zasady zgłaszania do UODO każdego błędnie wysłanego e-maila, każdego zgubionego dokumentu i każdego incydentu informatycznego.

Administrator ma dokonać realnej oceny ryzyka.

Jeżeli zgłoszenie jest wymagane, powinno nastąpić bez zbędnej zwłoki i – w miarę możliwości – nie później niż w terminie 72 godzin od stwierdzenia naruszenia.

Jeżeli zgłoszenie następuje później, trzeba wyjaśnić przyczyny opóźnienia.

Co istotne, brak wszystkich informacji nie zawsze uzasadnia czekanie. RODO umożliwia przekazywanie informacji sukcesywnie, bez dalszej zbędnej zwłoki. Firma nie powinna więc ryzykować przekroczenia terminu tylko dlatego, że analiza techniczna nie została jeszcze całkowicie zakończona.

Krok 7. Sprawdź, czy trzeba poinformować osoby, których dane dotyczą

Zgłoszenie do UODO i zawiadomienie osób to dwa różne obowiązki.

Próg dla zawiadomienia osoby jest wyższy.

Jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osoby fizycznej, administrator powinien bez zbędnej zwłoki poinformować ją o naruszeniu.

Informacja powinna być napisana jasnym i prostym językiem.

Nie jest to miejsce na skomplikowane formuły prawne mające przede wszystkim zabezpieczyć administratora. Osoba powinna zrozumieć, co się wydarzyło, jakie mogą być konsekwencje i co może zrobić, aby się chronić.

Przykładowo firma może zalecić zmianę hasła, obserwowanie rachunku bankowego, zwiększoną ostrożność wobec prób phishingu albo kontakt z określonym punktem obsługi.

RODO przewiduje również sytuacje, w których indywidualne zawiadomienie nie jest wymagane – między innymi wtedy, gdy zastosowane wcześniej skuteczne zabezpieczenia, takie jak odpowiednie szyfrowanie, powodują, że dane pozostają nieczytelne dla osób nieuprawnionych.

Krok 8. Udokumentuj naruszenie – również wtedy, gdy nie zgłaszasz go do UODO

To element często pomijany.

Firma może dojść do prawidłowego wniosku, że konkretnego zdarzenia nie trzeba zgłaszać Prezesowi UODO. Nie oznacza to jednak, że można o nim zapomnieć.

RODO wymaga dokumentowania naruszeń ochrony danych osobowych.

Dokumentacja powinna pozwalać ustalić okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze. Powinna również umożliwić organowi nadzorczemu zweryfikowanie, czy administrator prawidłowo wykonał obowiązki wynikające z art. 33 RODO.

W praktyce firma powinna prowadzić rejestr naruszeń ochrony danych osobowych.

Warto zapisywać w nim między innymi datę wykrycia i stwierdzenia naruszenia, opis zdarzenia, kategorie danych, liczbę osób, możliwe skutki, ocenę ryzyka, podjęte działania oraz decyzję dotyczącą zgłoszenia do UODO i zawiadomienia osób.

Jeżeli podjęto decyzję o braku zgłoszenia, warto szczególnie dobrze udokumentować jej uzasadnienie.

Krok 9. Jeżeli korzystasz z podmiotu przetwarzającego, ustal jego rolę

Wiele naruszeń nie powstaje bezpośrednio w systemach administratora.

Dane mogą znajdować się u dostawcy hostingu, operatora systemu SaaS, biura księgowego, dostawcy systemu HR, agencji marketingowej albo innego podmiotu przetwarzającego dane na zlecenie firmy.

Jeżeli naruszenie stwierdzi procesor, powinien bez zbędnej zwłoki zgłosić je administratorowi.

To administrator dokonuje następnie oceny obowiązku zgłoszenia naruszenia organowi, jeżeli chodzi o dane przetwarzane w jego imieniu.

Dlatego umowa powierzenia przetwarzania danych nie powinna ograniczać się do przepisania art. 28 RODO. W praktyce warto ustalić sposób raportowania incydentów, osoby kontaktowe, zakres przekazywanych informacji oraz zasady współpracy podczas analizy naruszenia.

Informacja otrzymana od procesora po dwóch dniach może pozostawić administratorowi bardzo niewiele czasu na wykonanie własnych obowiązków.

Krok 10. Po opanowaniu sytuacji ustal przyczynę i zapobiegaj kolejnym naruszeniom

Zamknięcie zgłoszenia do UODO nie powinno oznaczać końca sprawy.

Trzeba ustalić, dlaczego do incydentu doszło.

Jeżeli przyczyną był błąd pracownika, warto sprawdzić, czy problem wynikał wyłącznie z pomyłki, czy również z wadliwej organizacji procesu.

Jeżeli pracownik mógł jednym kliknięciem wysłać tysiące rekordów poza organizację, samo przeprowadzenie kolejnego szkolenia może nie rozwiązać problemu.

Czasami potrzebne będą dodatkowe zabezpieczenia techniczne, ograniczenie uprawnień, szyfrowanie, uwierzytelnianie wieloskładnikowe, zmiana procedur, lepsze kopie zapasowe albo poprawienie sposobu zarządzania dostępami.

Dobrze przeanalizowane naruszenie ochrony danych osobowych może ujawnić słabość systemu, zanim dojdzie do znacznie poważniejszego zdarzenia.

Najczęstszy błąd? Firma zaczyna działać za późno

W przypadku naruszeń RODO problemem często nie jest sam brak wiedzy o przepisach, lecz brak przygotowania organizacyjnego.

Pracownik zauważa incydent, ale nie wie, komu go zgłosić. Informuje przełożonego następnego dnia. Przełożony wysyła wiadomość do działu IT. IT zaczyna analizę, ale nikt nie informuje osoby odpowiedzialnej za ochronę danych.

Po dwóch dniach ktoś orientuje się, że może istnieć obowiązek zgłoszenia naruszenia.

Dlatego procedurę reagowania na naruszenia najlepiej przygotować przed pierwszym naruszeniem, a nie po jego wystąpieniu.

Firma powinna wiedzieć, kto przyjmuje zgłoszenie, kto zabezpiecza systemy, kto przeprowadza ocenę ryzyka, kto podejmuje decyzję o zgłoszeniu oraz kto odpowiada za kontakt z UODO i osobami, których dane dotyczą.

FAQ

Czy każde naruszenie ochrony danych osobowych trzeba zgłosić do UODO?

Nie. Zgłoszenie nie jest wymagane, jeżeli jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Każde naruszenie powinno jednak zostać odpowiednio przeanalizowane i udokumentowane.

Czy firma ma zawsze dokładnie 72 godziny na zgłoszenie naruszenia?

Nie należy traktować 72 godzin jako standardowego czasu oczekiwania. RODO wymaga działania bez zbędnej zwłoki, a 72 godziny są zasadniczym maksymalnym terminem liczonym od stwierdzenia naruszenia. Jeżeli zgłoszenie nastąpi później, administrator powinien wyjaśnić przyczyny opóźnienia.

Czy po zgłoszeniu naruszenia do UODO trzeba zawsze poinformować klientów lub pracowników?

Nie. Zawiadomienie osoby jest zasadniczo wymagane wtedy, gdy naruszenie może powodować wysokie ryzyko dla jej praw lub wolności. Jest to więc wyższy próg niż próg wymagający zgłoszenia naruszenia organowi nadzorczemu.

Podsumowanie

W przypadku naruszenia ochrony danych osobowych firma powinna działać według uporządkowanego schematu: wykryć i potwierdzić incydent, ograniczyć jego skutki, ustalić zakres naruszenia, zabezpieczyć dowody, przeprowadzić ocenę ryzyka, zdecydować o zgłoszeniu do UODO i ewentualnym zawiadomieniu osób, a następnie wszystko udokumentować.

Najgorszym rozwiązaniem jest odkładanie decyzji do momentu zebrania wszystkich informacji. Przy poważniejszych incydentach 72 godziny mogą minąć bardzo szybko.

Dobrze przygotowana procedura naruszeń pozwala nie tylko prawidłowo wykonać obowiązki wynikające z RODO. Pozwala przede wszystkim ograniczyć skutki incydentu, zanim niewielki błąd pracownika albo problem techniczny stanie się poważnym problemem dla firmy i jej klientów.

Jeżeli w Twojej firmie doszło do naruszenia danych osobowych, mogę pomóc w ocenie ryzyka, przygotowaniu zgłoszenia do UODO, zawiadomieniu osób oraz dokumentacji naruszenia, a także w przygotowaniu procedury reagowania na przyszłe incydenty.

Paweł Janicki

Radca prawny IP LL.M.