Naruszenie (w przepisach zwane „naruszeniem ochrony danych osobowych”) to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia lub dostępu do danych osobowych (art. 4 pkt 12). Liczą się zarówno przypadki, jak i ataki.
Przykłady
- e-mail z listami płac wysłany do niewłaściwego adresata
- laptop lub telefon z danymi klientów został zgubiony lub skradziony
- e-mail phishingowy dał komuś dostęp do skrzynki pocztowej
- pracownik przeglądał dokumentację medyczną lub karty klientów bez służbowej potrzeby
- baza danych jest źle skonfigurowana i otwarta w internecie
- ransomware zaszyfrował pliki z danymi osobowymi
- papierowe teczki wyrzucono do zwykłych śmieci
- usunięto kopię zapasową i nikt nie ma jej kopii
Trzy rodzaje naruszeń:
- poufności: dostęp uzyskuje osoba nieupoważniona
- integralności: dane zmieniono bez zezwolenia
- dostępności: dane zniknęły lub są niedostępne
Twój obowiązek: zgłoś natychmiast
Jako pracownik masz zgłosić wewnętrznie, gdy tylko odkryjesz naruszenie lub je podejrzewasz. Skorzystaj z procedury organizacji, np. zgłoszenia naruszenia, pomocy IT lub inspektora ochrony danych. Nie oceniasz samodzielnie, czy jest „wystarczająco duże”. To rozstrzygają osoby odpowiedzialne. Nie usuwaj dowodów, nie próbuj ukryć błędu i nie próbuj sprzątać samodzielnie.
Zapisz, co wiesz: co się stało, kiedy, jakich danych dotyczy i kogo może dotyczyć.
Obowiązek organizacji zgłoszenia do Datatilsynet
Zgodnie z art. 33 administrator ma zgłosić naruszenie do Datatilsynet bez zbędnej zwłoki i, jeśli to możliwe, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Nie dotyczy to sytuacji, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw i wolności osób. Jeśli zgłoszenie następuje po upływie 72 godzin, trzeba uzasadnić zwłokę.
Termin liczy się w godzinach i biegnie także w weekendy i święta. Dlatego liczy się każda godzina, którą tracisz, zanim zgłosisz.
Zgłoszenie ma m.in. opisywać:
- charakter naruszenia oraz mniej więcej liczbę osób i danych, których dotyczy
- punkt kontaktowy w celu uzyskania dalszych informacji
- prawdopodobne skutki
- środki zastosowane lub proponowane
Informacje można przekazywać etapami, jeśli nie wszystko jest gotowe od razu.
Podmioty przetwarzające
Podmiot przetwarzający, który stwierdzi naruszenie, ma powiadomić administratora bez zbędnej zwłoki (art. 33 ust. 2). Termin 72 godzin dotyczy administratora.
Zawiadomienie osób, których naruszenie dotyczy
Jeśli naruszenie może powodować wysokie ryzyko dla osób, np. oszustwo finansowe, kradzież tożsamości lub ujawnienie danych o zdrowiu, organizacja musi także zawiadomić je bezpośrednio i jasnym językiem (art. 34). Można od tego odstąpić, jeśli dane były prawidłowo zaszyfrowane lub ryzyko zostało usunięte.
Wszystkie naruszenia trzeba dokumentować
Nawet te, których nie zgłasza się do Datatilsynet, trzeba udokumentować wewnętrznie (art. 33 ust. 5): fakty, skutki i podjęte środki. Datatilsynet może poprosić o wgląd w dokumentację.
Co dzieje się potem?
Organizacja ocenia ryzyko, zamyka lukę, w razie potrzeby zgłasza i ulepsza procedury. Celem jest nauka, a nie szukanie kozła ofiarnego. Pracownicy, którzy zgłaszają szybko i uczciwie, wykonują swoją pracę.