Co zrobić w przypadku naruszenia danych osobowych?

Naruszenie danych osobowych może wystąpić zarówno w dużej organizacji, jak i w niewielkiej firmie, fundacji, placówce medycznej czy urzędzie. Może być wynikiem cyberataku, błędu pracownika, utraty dokumentów albo niewłaściwego zabezpieczenia systemu informatycznego. Niezależnie od przyczyny zdarzenie wymaga szybkiej reakcji, ustalenia jego zakresu oraz oceny możliwych konsekwencji dla osób, których dane dotyczą.

Nie każde zdarzenie związane z bezpieczeństwem informacji musi zostać zgłoszone organowi nadzorczemu. Każdy przypadek powinien jednak zostać dokładnie przeanalizowany i udokumentowany, ponieważ duże znaczenie mają rodzaj danych, skala zdarzenia oraz prawdopodobieństwo ich wykorzystania przez osoby nieuprawnione.

Czym jest naruszenie ochrony danych osobowych?

Naruszeniem ochrony danych osobowych jest zdarzenie prowadzące do przypadkowego albo niezgodnego z prawem zniszczenia, utraty, zmiany, ujawnienia lub uzyskania dostępu do danych osobowych. Może ono dotyczyć zarówno danych przechowywanych w systemach informatycznych, jak i dokumentów papierowych.

Do naruszenia może dojść przykładowo wtedy, gdy wiadomość e-mail zawierająca dane klienta zostanie wysłana do niewłaściwego odbiorcy, pracownik zgubi służbowy komputer, dokumentacja zostanie pozostawiona w miejscu dostępnym dla osób postronnych albo osoba nieuprawniona uzyska dostęp do firmowego systemu.

Naruszenie nie musi polegać wyłącznie na ujawnieniu informacji. Może również dotyczyć utraty dostępności danych, ich nieuprawnionej zmiany albo trwałego usunięcia. Istotne jest więc nie tylko to, czy ktoś zobaczył dane, ale także czy administrator nadal może z nich prawidłowo korzystać.

Jakie działania należy podjąć bezpośrednio po wykryciu naruszenia?

Pierwszym celem powinno być ograniczenie dalszych skutków zdarzenia. Sposób działania zależy od jego charakteru. W przypadku włamania do systemu może być konieczne zablokowanie dostępu, zmiana haseł lub odłączenie części infrastruktury. Przy omyłkowo wysłanej wiadomości można podjąć próbę jej wycofania albo zwrócić się do niewłaściwego odbiorcy o usunięcie danych.

Najważniejsze działania po wykryciu zdarzenia obejmują:

• zabezpieczenie systemów, dokumentów lub urządzeń, których dotyczy naruszenie,
• ustalenie, kiedy i w jaki sposób doszło do zdarzenia,
• określenie rodzaju oraz zakresu ujawnionych, utraconych lub zmienionych danych,
• ustalenie liczby osób, których dane mogą być zagrożone,
• ocenę możliwych skutków dla tych osób,
• podjęcie decyzji o zgłoszeniu naruszenia i zawiadomieniu osób zainteresowanych.

Działania techniczne powinny być prowadzone równolegle z analizą prawną i organizacyjną. Nie należy czekać z zabezpieczeniem systemu do zakończenia pełnego postępowania wyjaśniającego. Europejskie wytyczne wskazują, że administrator powinien jednocześnie ograniczać naruszenie, oceniać ryzyko oraz ustalać, czy konieczne jest dokonanie odpowiednich zgłoszeń.

Jak ocenić ryzyko związane z naruszeniem?

Ocena ryzyka powinna być dokonywana przede wszystkim z perspektywy osób, których dane dotyczą. Nie chodzi wyłącznie o potencjalne straty organizacji, lecz o możliwe konsekwencje dla prywatności, bezpieczeństwa, sytuacji finansowej lub dobrego imienia konkretnych osób.

Znaczenie może mieć między innymi rodzaj danych objętych zdarzeniem. Ujawnienie samego adresu e-mail zazwyczaj wiąże się z innym poziomem zagrożenia niż ujawnienie numeru PESEL, danych logowania, informacji dotyczących zdrowia, sytuacji finansowej albo dokumentów tożsamości.

W ocenie uwzględnia się również skalę zdarzenia, liczbę osób, możliwość ich zidentyfikowania, zastosowane zabezpieczenia oraz prawdopodobieństwo wykorzystania informacji przez osobę nieuprawnioną. Samo wystąpienie szkody nie jest konieczne. Obowiązki administratora mogą powstać już wtedy, gdy istnieje realne prawdopodobieństwo negatywnych konsekwencji.

Skutkami naruszenia mogą być na przykład kradzież tożsamości, oszustwo, strata finansowa, dyskryminacja, naruszenie dobrego imienia albo utrata kontroli nad własnymi danymi. Szczególnej ostrożności mogą wymagać zdarzenia dotyczące dzieci, osób wymagających wsparcia oraz danych objętych tajemnicą zawodową.

Kiedy należy zgłosić naruszenie do UODO?

Jeżeli przeprowadzona analiza wskazuje, że naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych, administrator powinien zgłosić je Prezesowi Urzędu Ochrony Danych Osobowych.

Zgłoszenia dokonuje się bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Termin ten nie jest liczony od momentu, w którym doszło do zdarzenia, lecz od chwili, gdy administrator uzyskał dostateczną pewność, że naruszenie rzeczywiście wystąpiło.

Brak pełnych informacji nie zawsze uzasadnia odłożenie zgłoszenia. Administrator może przekazać początkowo dostępne informacje, a następnie uzupełniać je w miarę prowadzenia dalszych ustaleń. Jeżeli termin nie zostanie zachowany, konieczne może być wyjaśnienie przyczyn opóźnienia.

Zgłoszenie powinno opisywać charakter zdarzenia, kategorie danych, przybliżoną liczbę osób, możliwe konsekwencje oraz środki zastosowane w celu ograniczenia skutków. Powinno również wskazywać osobę lub punkt kontaktowy, od którego organ może uzyskać dodatkowe informacje.

Jeżeli analiza wskazuje, że wystąpienie ryzyka dla praw i wolności osób jest mało prawdopodobne, zgłoszenie do UODO może nie być konieczne. Decyzja o braku zgłoszenia powinna jednak mieć konkretne i udokumentowane uzasadnienie.

Kiedy trzeba zawiadomić osoby, których dane dotyczą?

Zgłoszenie naruszenia do organu nadzorczego i poinformowanie osób zainteresowanych to dwa odrębne obowiązki. Zawiadomienie osób jest wymagane przede wszystkim wtedy, gdy zdarzenie może powodować wysokie ryzyko naruszenia ich praw lub wolności.

Informacja powinna zostać przekazana bez zbędnej zwłoki, prostym i zrozumiałym językiem. Powinna wyjaśniać, co się wydarzyło, jakie dane mogły zostać objęte naruszeniem, jakie są możliwe konsekwencje oraz jakie działania podjęto w celu ograniczenia zagrożenia.

Zawiadomienie powinno również wskazywać, jakie środki ochronne może zastosować osoba, której dane dotyczą. W zależności od zdarzenia może chodzić na przykład o zmianę hasła, wzmożoną ostrożność wobec podejrzanych wiadomości, kontrolowanie rachunku bankowego albo zabezpieczenie dostępu do określonego konta. UODO podkreśla, że osobom należy przedstawić zarówno możliwe skutki naruszenia, jak i środki pozwalające ograniczyć ryzyko.

W określonych sytuacjach indywidualne zawiadomienie może nie być konieczne, przykładowo gdy dane były odpowiednio zaszyfrowane albo zastosowane później środki skutecznie wyeliminowały wysokie ryzyko. Ocena zależy jednak od okoliczności konkretnego zdarzenia.

Kto odpowiada za zgłoszenie naruszenia?

Za ocenę zdarzenia oraz ewentualne zgłoszenie odpowiada przede wszystkim administrator danych, czyli podmiot decydujący o celach i sposobach przetwarzania danych osobowych.

Inna sytuacja występuje, gdy naruszenie zostanie wykryte przez podmiot przetwarzający dane w imieniu administratora, na przykład zewnętrznego dostawcę systemu informatycznego lub firmę obsługującą określony proces. Taki podmiot powinien bez zbędnej zwłoki poinformować administratora o zdarzeniu. Ostateczna decyzja dotycząca zgłoszenia do UODO oraz zawiadomienia osób należy co do zasady do administratora.

Z tego względu istotne znaczenie mają procedury określające sposób przekazywania informacji o incydentach pomiędzy organizacją a jej zewnętrznymi dostawcami. Zbyt późne przekazanie informacji może utrudnić zachowanie terminu na dokonanie zgłoszenia.

Dlaczego każde naruszenie powinno zostać udokumentowane?

Administrator powinien prowadzić wewnętrzną dokumentację naruszeń. Dotyczy to również zdarzeń, których ostatecznie nie zgłoszono organowi nadzorczemu.

Dokumentacja może obejmować opis zdarzenia, czas jego wykrycia, rodzaj danych, liczbę osób, ocenę ryzyka, podjęte działania oraz uzasadnienie decyzji dotyczącej zgłoszenia. Powinna pozwalać na późniejsze odtworzenie przebiegu zdarzenia i wykazanie, że zostało ono prawidłowo przeanalizowane.

Brak obowiązku zgłoszenia nie oznacza braku obowiązku reakcji. Nawet naruszenie o ograniczonym znaczeniu może wskazywać na słabość zabezpieczeń, niewłaściwą organizację pracy albo brak odpowiednich procedur.

Co może zrobić osoba, której dane zostały naruszone?

Osoba, która otrzyma zawiadomienie o naruszeniu, powinna przede wszystkim uważnie zapoznać się z jego treścią. Duże znaczenie ma ustalenie, jakie dokładnie dane zostały ujawnione oraz jakie zagrożenia wskazał administrator.

Jeżeli zdarzenie dotyczy danych logowania, zwykle uzasadniona jest zmiana hasła, szczególnie gdy takie samo hasło było używane w kilku serwisach. W przypadku danych finansowych istotne może być dokładniejsze kontrolowanie rachunków i zwracanie uwagi na nieznane transakcje. Ujawnienie danych kontaktowych może natomiast zwiększać ryzyko fałszywych wiadomości, telefonów lub prób wyłudzenia informacji.

Warto zachować otrzymane zawiadomienie oraz inne materiały związane ze zdarzeniem. Mogą one mieć znaczenie, gdy pojawią się kolejne informacje dotyczące naruszenia albo jego skutków.

Jak ograniczyć ryzyko podobnych zdarzeń w przyszłości?

Po opanowaniu sytuacji administrator powinien przeanalizować przyczyny naruszenia. Celem nie jest wyłącznie usunięcie bezpośrednich skutków, ale także ograniczenie ryzyka ponownego wystąpienia podobnego problemu.

W praktyce może to oznaczać zmianę sposobu nadawania uprawnień, aktualizację systemów, wprowadzenie dodatkowego uwierzytelniania, szyfrowanie urządzeń, poprawę zasad przechowywania dokumentów albo dodatkowe szkolenia dla pracowników.

Znaczenie ma również regularne sprawdzanie, czy przyjęte zabezpieczenia nadal odpowiadają skali i charakterowi przetwarzanych danych. Środki wystarczające dla podstawowej listy kontaktów mogą być niewystarczające w przypadku dokumentacji medycznej, finansowej lub kadrowej.

Podsumowanie

Naruszenie danych osobowych wymaga szybkiego zabezpieczenia informacji, ustalenia zakresu zdarzenia oraz oceny możliwego ryzyka dla osób fizycznych. W zależności od wyników analizy konieczne może być zgłoszenie naruszenia do UODO oraz zawiadomienie osób, których dane dotyczą.

Każde zdarzenie powinno zostać rzetelnie udokumentowane, również wtedy, gdy nie podlega zgłoszeniu. Odpowiednia reakcja pozwala nie tylko ograniczyć bieżące skutki naruszenia, ale również rozpoznać słabe punkty organizacji i zmniejszyć prawdopodobieństwo wystąpienia podobnych sytuacji w przyszłości.

Więcej praktycznych porad prawnych można znaleźć na stroniewww.plazaglab.pl .