Naruszenie danych osobowych – co robić, gdy coś pójdzie nie tak?

Naruszenie ochrony danych osobowych to jedna z sytuacji, których organizacje obawiają się najbardziej. W praktyce jednak nie chodzi o to, czy incydent się wydarzy. W wielu przypadkach to kwestia czasu. Kluczowe jest coś innego: czy organizacja wie, jak zareagować.

Największym problemem nie jest samo naruszenie. Problemem jest chaos, który pojawia się zaraz po jego wykryciu. Kto ma podjąć decyzję? Czy trzeba zgłaszać incydent? Ile jest czasu? Co powiedzieć klientom? RODO nie wymaga perfekcji. Wymaga szybkiej, świadomej reakcji.

Czym jest naruszenie danych osobowych?

Zgodnie z RODO naruszenie to każde zdarzenie, które prowadzi do:

• nieuprawnionego dostępu do danych,
• ich utraty,
• zniszczenia,
• ujawnienia lub zmiany.

W praktyce naruszenie nie musi oznaczać wycieku do internetu ani ataku hakerskiego. Często są to sytuacje znacznie bardziej „codzienne”.

Może to być wysłanie e-maila do niewłaściwego odbiorcy. Może to być zgubiony laptop lub dostęp do danych przez osobę, która nie powinna go mieć.

To, co łączy te sytuacje, to jedno: utrata kontroli nad danymi.

Czym naruszenie nie jest?

Nie każde zdarzenie związane z danymi osobowymi jest naruszeniem w rozumieniu RODO.

Jeżeli system działa wolniej niż zwykle, ale dane są bezpieczne – nie mamy naruszenia.
Jeżeli pracownik ma dostęp do danych, które są zgodne z jego rolą – również nie.

Granica pojawia się wtedy, gdy dochodzi do naruszenia poufności, integralności lub dostępności danych.

W praktyce oznacza to, że kluczowe jest nie samo zdarzenie, ale jego wpływ na dane.

72 godziny – kiedy trzeba zgłosić naruszenie?

Najważniejsza jest szybka reakcja. Pierwsze godziny mają kluczowe znaczenie.

W praktyce warto zacząć od trzech działań:

• zatrzymania zdarzenia (np. cofnięcie dostępu, zabezpieczenie systemu),
• ustalenia, co dokładnie się wydarzyło,
• określenia, jakie dane i ilu osób dotyczy incydent.

Nie chodzi o pełną analizę. Chodzi o zrozumienie sytuacji na tyle, aby podjąć kolejne decyzje.

RODO wprowadza zasadę, która budzi najwięcej emocji: bez zbędnej zwłoki, nie później niż w ciągu 72 godzin na zgłoszenie naruszenia do organu nadzorczego. Czas ten liczony jest od momentu stwierdzenia incydentu. To ważne rozróżnienie. Nie chodzi o moment, w którym incydent się wydarzył, ale o moment jego wykrycia.

Zgłoszenie jest wymagane wtedy, gdy istnieje ryzyko naruszenia praw lub wolności osób fizycznych. Jeżeli ryzyko jest niskie, zgłoszenie do UODO może nie być konieczne. W praktyce największym wyzwaniem jest szybka ocena sytuacji. Dlatego tak ważne jest, aby organizacja miała wcześniej ustalone zasady postępowania.

Jak wygląda zgłoszenie do UODO w praktyce?

Zgłoszenie naruszenia nie polega na przygotowaniu skomplikowanego raportu technicznego.
W praktyce oznacza wypełnienie formularza, który prowadzi przez kilka kluczowych obszarów.

Organ nadzorczy oczekuje przede wszystkim odpowiedzi na konkretne pytania:

• co się wydarzyło i na czym polegało naruszenie,
• kiedy zostało wykryte i kiedy faktycznie miało miejsce,
• jakie dane i ilu osób dotyczy incydent,
• jakie mogą być konsekwencje dla tych osób,
• jakie działania zostały już podjęte,
• jakie środki zostaną wdrożone, aby zapobiec podobnym sytuacjom w przyszłości.

Formularz zawiera również elementy formalne, takie jak dane administratora, informacje o inspektorze ochrony danych czy ewentualne zaangażowanie innych podmiotów (np. podmiotu przetwarzającego).

W praktyce oznacza to jedno: organizacja musi szybko zebrać i uporządkować informacje o incydencie.

Nie wszystkie dane muszą być znane od razu. RODO dopuszcza zgłoszenie wstępne, które można uzupełnić później.

Najważniejsze jest to, aby:

• nie zwlekać ze zgłoszeniem,
• przekazać dostępne informacje,
• uzupełniać je w miarę wyjaśniania sytuacji.

Kiedy trzeba poinformować osoby, których dane dotyczą?

Nie każde naruszenie wymaga kontaktu z osobami, których dane dotyczą. Obowiązek informacyjny pojawia się wtedy, gdy naruszenie może powodować wysokie ryzyko dla tych osób. Może to dotyczyć na przykład ujawnienia danych finansowych, danych logowania czy informacji wrażliwych.

Komunikat powinien być:

• jasny,
• konkretny,
• pozbawiony technicznego języka.

Osoby, których dane dotyczą, powinny wiedzieć, co się wydarzyło i jakie mogą podjąć działania, aby ograniczyć skutki incydentu.

Jak uniknąć chaosu przy naruszeniu danych?

Największym problemem w praktyce nie jest brak wiedzy o przepisach. Jest nim brak przygotowania.

Organizacje, które radzą sobie najlepiej, mają wcześniej ustalone:

• kto odpowiada za reakcję na incydent,
• jakie są etapy postępowania,
• jak wygląda komunikacja wewnętrzna.

Dzięki temu w sytuacji kryzysowej nie trzeba zaczynać od zera.

Dlaczego reakcja jest ważniejsza niż sam incydent?

Naruszenia danych zdarzają się nawet w dobrze zarządzanych organizacjach. To, co je różni, to sposób reakcji.

Szybka identyfikacja problemu, właściwa ocena ryzyka i przejrzysta komunikacja ograniczają skutki incydentu. Pokazują też, że organizacja traktuje ochronę danych poważnie. RODO nie zakłada, że każda firma uniknie naruszeń. Zakłada, że będzie potrafiła na nie odpowiednio reagować.

Podsumowanie

Naruszenie danych osobowych nie jest sytuacją, której można całkowicie uniknąć. Jest sytuacją, na którą można się przygotować.

Najważniejsze jest:

• rozumienie, czym jest naruszenie,
• umiejętność szybkiej oceny sytuacji,
• znajomość zasad zgłoszenia incydentu,
• świadoma komunikacja z osobami, których dane dotyczą.

To właśnie te elementy decydują o tym, czy incydent pozostanie problemem operacyjnym, czy przerodzi się w poważne ryzyko dla organizacji.