Naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia danych osobowych lub dostępu do nich (art. 4 pkt 12). To pojęcie szersze niż włamanie.
Przykłady
- E-mail z danymi osobowymi wysłany do niewłaściwej osoby.
- Zgubiony lub skradziony laptop, telefon albo teczka z dokumentami.
- Atak ransomware, który blokuje dokumentację.
- Ktoś uzyskuje dostęp do dokumentów, których nie powinien widzieć, także pracownik.
- List włożony do niewłaściwej koperty.
- Dane osobowe pozostawione w drukarce albo papiery wyrzucone do zwykłego kosza.
- Dane wysłane przez pomyłkę przez podmiot przetwarzający, na przykład firmę płacową.
Naruszenie dotyczy też dostępności. Utrata dostępu do danych, od których zależą ludzie, na przykład do dokumentacji szpitala, może być naruszeniem, nawet jeśli nikt tych danych nie widział.
Twój pierwszy obowiązek: zgłoś to w organizacji, natychmiast
Gdy zauważysz naruszenie lub je podejrzewasz:
- Działaj szybko. Spróbuj ograniczyć szkody, jeśli możesz, na przykład prosząc niewłaściwego adresata, by nie otwierał e-maila i go usunął.
- Zgłoś od razu przełożonemu, działowi IT lub inspektorowi ochrony danych, w sposób wskazany w procedurze pracodawcy dotyczącej naruszeń. Nie czekaj na pewność.
- Zapisz, co się stało, kiedy to wykryto i jakie kroki podjęto.
- Nie ukrywaj tego i nie próbuj naprawiać po cichu. Nie usuwaj dowodów.
Większość naruszeń to drobne błędy ludzkie. Pracodawcy chcą o nich wiedzieć od razu, bo zegar już tyka.
Zasada 72 godzin
Administrator musi zgłosić naruszenie Data Protection Commission bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia (art. 33). Do 72 godzin wlicza się weekendy. Jedyny wyjątek: gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób. Jeśli zgłoszenie następuje po upływie 72 godzin, administrator musi podać powody opóźnienia.
Zgłoszenie do DPC mówi, co się stało, mniej więcej ilu osób i rekordów dotyczy, jakie mogą być skutki, jakie środki podjęto oraz kto jest osobą kontaktową, na przykład inspektor ochrony danych. Organizacje zgłaszają się przez internetowy formularz zgłaszania naruszeń DPC. Informacje można przekazywać etapami, jeśli nie wszystko jest jeszcze znane.
Podmiot przetwarzający musi poinformować administratora bez zbędnej zwłoki po stwierdzeniu naruszenia (art. 33 ust. 2).
Informowanie osób, których dotyczy naruszenie
Jeśli naruszenie może powodować wysokie ryzyko dla osób, na przykład niebezpieczeństwo oszustwa, kradzieży tożsamości, dyskryminacji lub szkody dla zdrowia, administrator musi też poinformować osoby, których dotyczy, bez zbędnej zwłoki i jasnym językiem (art. 34). Nie musi tego robić, jeśli dane były odpowiednio zaszyfrowane, jeśli późniejsze działania usunęły ryzyko albo jeśli wymagałoby to niewspółmiernie dużego wysiłku, a wystarczy komunikat publiczny.
Każde naruszenie jest dokumentowane
Artykuł 33 ust. 5 wymaga, by administrator dokumentował każde naruszenie, niezależnie od tego, czy zgłasza je do DPC: fakty, skutki i podjęte działania. DPC może poprosić o wgląd w ten rejestr. To część rozliczalności.
Dlaczego twoja szybkość ma znaczenie
Załóżmy, że pracownik wysyła w piątek o 17.00 arkusz z danymi pacjentów na niewłaściwy adres i milczy do środy. Wtedy administratorowi może zostać niewiele czasu lub wcale w limicie 72 godzin. Jeśli pracownik powie inspektorowi ochrony danych o 17.10, ten ma pełne trzy dni na ocenę ryzyka i, w razie potrzeby, zgłoszenie.
Wyciąganie wniosków z naruszeń
Naruszenia służą do ulepszania szkoleń, procedur i systemów. Podejście bez szukania winnych zachęca do zgłaszania. Ukrycie naruszenia jest poważniejszą sprawą niż pierwotny błąd.
Co zapamiętać
- Naruszenie to każda utrata, uszkodzenie, zmiana, ujawnienie lub dostęp, które nie powinny się zdarzyć.
- Zgłoś pracodawcy natychmiast. Nie czekaj.
- Administrator zgłasza do DPC w ciągu 72 godzin, chyba że jest mało prawdopodobne, by naruszenie powodowało ryzyko.
- Jeśli ryzyko dla osób jest wysokie, trzeba poinformować także je.