Nawet przy dobrych nawykach coś może pójść nie tak. Wtedy liczy się szybka reakcja. Przepisy zawierają art. 33 i 34 ogólnego rozporządzenia o ochronie danych.
Czym jest naruszenie?
Naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do danych osobowych (art. 4 pkt 12). Może dotyczyć trzech rzeczy:
- Poufności: Osoby niepowołane uzyskują dostęp. Przykład: e-mail z listami płac trafia do niewłaściwego odbiorcy.
- Integralności: Dane zostają zmienione bez zezwolenia lub przez pomyłkę.
- Dostępności: Dane zostają utracone lub nie można z nich korzystać. Przykład: ransomware szyfruje pliki albo brakuje kopii zapasowej.
Więcej przykładów: zgubiony laptop lub telefon z danymi, atak hakerski, dokumenty w otwartym kontenerze, arkusz udostępniony zbyt wielu osobom, pracownik zaglądający do systemu bez potrzeby służbowej oraz błędnie zaadresowany list, który trafia do kogoś innego.
Twoja odpowiedzialność: powiedz o tym od razu
Jako pracownik masz:
- Zgłosić zdarzenie natychmiast osobie kontaktowej lub w systemie wskazanym przez firmę. Nie czekaj, aż okaże się, że to poważne.
- Powiedzieć, co wiesz: co się stało, kiedy i jakich danych oraz ilu osób to może dotyczyć.
- Spróbować ograniczyć szkody, jeśli możesz, np. prosząc błędnego odbiorcę o usunięcie e-maila. Rób to jednak tylko po uzgodnieniu i nie usuwaj na własną rękę dowodów.
- Nie ukrywać błędu ani nie poprawiać go po cichu.
To firma, a nie ty, ocenia, czy zdarzenie trzeba zgłosić organowi.
Obowiązki firmy
- Zgłoszenie do Datatilsynet (art. 33 ust. 1): Gdy administrator dowie się o naruszeniu, musi zgłosić je do Datatilsynet bez zbędnej zwłoki i, o ile to możliwe, w ciągu 72 godzin. Wyjątek: gdy jest mało prawdopodobne, że naruszenie spowoduje ryzyko naruszenia praw lub wolności osób. Zgłoszenia dokonuje się cyfrowo przez formularz Datatilsynet na virk.dk. Jeśli następuje po upływie 72 godzin, trzeba podać przyczynę opóźnienia. Informacje można przekazywać etapami.
- Zawiadomienie osób, których dane dotyczą (art. 34): Jeśli naruszenie może powodować wysokie ryzyko dla tych osób, trzeba je również powiadomić bez zbędnej zwłoki, jasnym i prostym językiem.
- Podmioty przetwarzające muszą zawiadomić administratora bez zbędnej zwłoki (art. 33 ust. 2).
- Dokumentacja (art. 33 ust. 5): Firma musi prowadzić rejestr wszystkich naruszeń, także tych, których nie zgłasza, z faktami, skutkami i podjętymi środkami. Datatilsynet może poprosić o jego wgląd.
Termin 72 godzin liczy się od chwili, gdy firma dowiaduje się o naruszeniu, i obejmuje także weekendy. To jeden z najważniejszych powodów, by zgłaszać szybko wewnątrz firmy: każda godzina, którą czekasz, skraca czas firmy.
Po naruszeniu
Firma powinna wyciągnąć wnioski ze zdarzenia: co poszło nie tak i jak temu zapobiec następnym razem? Błąd zgłoszony otwarcie to szansa na poprawę procedur.
Pamiętaj: 72 godziny. Twoje szybkie zgłoszenie to pierwsze ogniwo terminu firmy.