Naruszenie ochrony danych osobowych (art. 4 pkt 12) to incydent bezpieczeństwa prowadzący do przypadkowego lub bezprawnego zniszczenia, utraty, zmiany, nieuprawnionego ujawnienia danych osobowych lub nieuprawnionego dostępu do nich. Może się zdarzyć każdemu.
Przykłady
- E-mail z danymi klientów trafia do niewłaściwej osoby.
- Znika laptop, telefon lub pendrive z danymi osobowymi.
- Ktoś nakłania pracownika do podania hasła i loguje się osoba nieuprawniona.
- Pracownik zagląda do dokumentacji medycznej lub rejestrów bez związku z pracą.
- Plik z danymi osobowymi zostaje wystawiony w internecie.
- Atak ransomware szyfruje dane tak, że nie ma do nich dostępu.
- Papiery z danymi osobowymi trafiają do zwykłych śmieci.
Gdy dane ulegają utracie lub stają się niedostępne, to także jest naruszenie, nie tylko wtedy, gdy ktoś czyta je bez zgody.
Twoje pierwsze zadanie: zgłoś od razu
Nie musisz oceniać, jak poważne to jest. Twoim zadaniem jest szybko powiedzieć przełożonemu, działowi bezpieczeństwa IT lub komórce wyznaczonej przez pracodawcę. Liczy się każda godzina, bo pracodawca ma krótki termin.
- Zgłaszaj także wtedy, gdy uważasz, że błąd jest twój. Lepiej zgłosić niepotrzebnie.
- Nie usuwaj dowodów. Nie próbuj po cichu „posprzątać”.
- Zapisz, co się stało, kiedy i jakich danych dotyczy.
- Stosuj się do otrzymanych instrukcji. Nie proś odbiorców błędnie wysłanej wiadomości, by przekazywali ją dalej.
Obowiązki pracodawcy
Zgłoszenie do IMY
Zgodnie z art. 33 administrator ma zgłosić naruszenie do IMY bez zbędnej zwłoki, a jeśli to możliwe, w ciągu 72 godzin od stwierdzenia naruszenia. Wyjątek obowiązuje, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw i wolności osób. Zgłoszenia dokonuje się na imy.se. Jeśli zgłoszenie następuje po 72 godzinach, trzeba podać przyczyny opóźnienia.
72 godziny liczy się bez przerwy, godzina po godzinie, czyli także w weekendy i święta. Termin zaczyna biec, gdy organizacja dowie się o naruszeniu, a czasem jest to moment, w którym zauważył je pracownik. Dlatego twoje szybkie zgłoszenie jest decydujące.
Zgłoszenie ma między innymi opisywać, co się stało, jakich danych i ilu osób dotyczy, prawdopodobne skutki oraz jakie środki podjęła organizacja. Jeśli nie wszystko jest jeszcze znane, informacje można przekazywać etapami.
Zawiadomienie osób, których dane dotyczą
Jeśli naruszenie może skutkować wysokim ryzykiem dla praw i wolności osób, trzeba bez zbędnej zwłoki zawiadomić także osoby, których to dotyczy (art. 34). Dotyczy to na przykład sytuacji, gdy dane kont, dane o zdrowiu lub numery personalne trafiły w niepowołane ręce.
Dokumentacja
Wszystkie naruszenia trzeba dokumentować, także te, które nie są zgłaszane do IMY (art. 33 ust. 5). IMY może zażądać wglądu w dokumentację.
Podmioty przetwarzające
Podmiot przetwarzający ma zawiadomić administratora bez zbędnej zwłoki po stwierdzeniu naruszenia (art. 33 ust. 2). Wtedy zaczyna biec 72-godzinny termin administratora.
Po naruszeniu
Organizacja uczy się na tym, co się stało: jak do tego doszło i co trzeba zmienić? Celem nie jest wskazanie winnego, lecz zapobieżenie powtórce.