Naruszenie ochrony danych osobowych (ang. data breach) to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do danych osobowych (art. 4 pkt 12 RODO). Nie musi chodzić o atak hakerski.
Przykłady z pracy
- e-mail z danymi osobowymi wysłany niewłaściwemu adresatowi
- zgubiony lub skradziony laptop, telefon, dysk USB
- pracownik, który bez upoważnienia zagląda do cudzych rekordów
- phishing, po którym atakujący uzyskał dostęp do konta
- wyrzucone lub zgubione dokumenty z danymi osobowymi
- atak ransomware, po którym dane są zaszyfrowane i niedostępne
- omyłkowe opublikowanie danych na stronie internetowej lub w mediach społecznościowych
Naruszeniem jest także utrata dostępności danych, a nie tylko ich wyciek.
Co musi zrobić administrator
- Zgłosić naruszenie Urzędowi Ochrony Danych Osobowych bez zbędnej zwłoki, o ile to możliwe w ciągu 72 godzin od stwierdzenia naruszenia (art. 33). Wyjątkiem jest sytuacja, gdy jest mało prawdopodobne, by naruszenie powodowało ryzyko naruszenia praw lub wolności osób. Spóźnione zgłoszenie trzeba uzasadnić.
- Jeśli naruszenie prawdopodobnie oznacza wysokie ryzyko, zawiadomić o nim także osoby, których dotyczy, w zrozumiały sposób i bez zbędnej zwłoki (art. 34). Obowiązek odpada na przykład wtedy, gdy dane były skutecznie zaszyfrowane.
- Udokumentować każde naruszenie, także to, którego się nie zgłasza (art. 33 ust. 5).
Podmiot przetwarzający zgłasza naruszenie administratorowi bez zbędnej zwłoki (art. 33 ust. 2). Do zgłoszenia Urzędowi jest na uoou.gov.cz formularz.
Co zawiera zgłoszenie
Według art. 33 ust. 3 zgłoszenie do Urzędu opisuje w szczególności:
- charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, których dotyczy
- imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego
- możliwe konsekwencje naruszenia
- środki, które administrator zastosował lub proponuje, aby zaradzić naruszeniu i zminimalizować jego skutki
Jeśli administrator nie ma od razu wszystkich informacji, może je przekazywać etapami (art. 33 ust. 4). Dlatego nie czeka się, aż wszystko będzie jasne. Właśnie twoje notatki o tym, kiedy, co i komu się stało, są podstawą zgłoszenia.
Czas jest krótki
Termin 72 godzin jest krótki. Jeśli stwierdzisz naruszenie i nic nie powiesz, firma traci czas i może spóźnić zgłoszenie, a wtedy musi uzasadnić opóźnienie przed Urzędem. Dlatego zgłaszaj wszystko od razu.
Co zrobić, gdy zauważysz problem
- Nie panikuj i niczego nie zamiataj pod dywan. Szybkie zgłoszenie jest ważniejsze niż to, kto popełnił błąd.
- Natychmiast powiadom przełożonego, inspektora ochrony danych lub osobę wskazaną w zasadach wewnętrznych. Nie mów „później” ani „jakoś się to ułoży”.
- Jeśli możesz, zapobiegnij dalszym szkodom: odłącz urządzenie, zadzwoń do odbiorcy błędnego e-maila z prośbą o jego usunięcie, zmień hasło.
- Zapisz, co się stało: kiedy, co, komu i jakich danych to dotyczyło.
- Nie usuwaj dowodów i nie kontaktuj się na własną rękę z osobami, których to dotyczy, chyba że ktoś ci to polecił.
- Stosuj się do poleceń. O zgłoszeniu Urzędowi decyduje administrator.
Ocena ryzyka
Administrator ocenia, czy ryzyko jest prawdopodobne i jak wysokie. Bierze pod uwagę rodzaj danych (zdrowie, dokumenty, finanse), liczbę osób, łatwość identyfikacji, skutki i to, czy dane były zaszyfrowane. Jeden e-mail z grafikiem wysłany omyłkowo koledze praktycznie nie niesie ryzyka. Lista diagnoz wysłana obcej osobie niesie ryzyko wysokie.
Co zapamiętać
- Naruszenie ochrony danych to nie tylko atak hakerski. Wystarczy błędnie wysłany e-mail.
- Administrator zgłasza Urzędowi w ciągu 72 godzin od stwierdzenia naruszenia.
- Ty musisz mu o tym powiedzieć natychmiast, aby nie skrócić mu terminu.
- Dokumentuje się każde naruszenie.