Naruszenie ochrony danych osobowych — co firma powinna zrobić w pierwszych 72 godzinach?

Co jest naruszeniem ochrony danych osobowych?

Naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia albo dostępu do danych osobowych. Problem nie ogranicza się więc do „wycieku”.

Naruszeniem może być między innymi:

Awaria serwera bez danych osobowych nie podlega temu mechanizmowi. Z kolei odzyskanie pliku z kopii zapasowej nie oznacza automatycznie, że naruszenia nie było — trzeba sprawdzić, czy wystąpiła utrata dostępności, nieuprawniony dostęp albo inny skutek dla danych.

• wysłanie wiadomości lub załącznika do niewłaściwego odbiorcy;
• przejęcie skrzynki pracownika i dostęp do korespondencji z klientami;
• zgubienie niezabezpieczonego laptopa lub nośnika;
• zaszyfrowanie danych przez ransomware, jeżeli firma traci do nich dostęp;
• przypadkowe usunięcie jedynej kopii bazy;
• publiczne udostępnienie pliku przez błędnie skonfigurowany link;
• zmiana danych w systemie bez uprawnienia.

Od kiedy biegną 72 godziny?

Termin nie zawsze zaczyna się w chwili pierwszego alarmu technicznego. Zgodnie z podejściem EROD administrator „stwierdza” naruszenie, gdy ma wystarczający stopień pewności, że doszło do zdarzenia bezpieczeństwa, które naruszyło dane osobowe.

Nie można jednak celowo odwlekać wstępnej analizy. Jeżeli w poniedziałek pojawia się wiarygodna informacja, że konto pocztowe pracownika zostało przejęte, firma powinna niezwłocznie ustalić, czy konto zawierało dane osobowe i czy osoba nieuprawniona mogła mieć do nich dostęp. Wewnętrzna procedura wymagająca oczekiwania na cotygodniowe posiedzenie zarządu nie przesuwa terminu wynikającego z RODO.

Jeżeli firma jest podmiotem przetwarzającym dane na zlecenie klienta, jej podstawowym obowiązkiem jest zawiadomienie administratora bez zbędnej zwłoki. To administrator ocenia obowiązek zgłoszenia do organu. Umowa powierzenia powinna określać szybki kanał eskalacji, zakres pierwszego komunikatu i sposób przekazywania dalszych ustaleń. Więcej o podziale ról wyjaśnia projekt artykułu Umowa powierzenia danych osobowych — kiedy jest potrzebna i co powinna regulować?.

Co zrobić bezpośrednio po wykryciu zdarzenia?

Pierwsza reakcja powinna łączyć działania techniczne, organizacyjne i prawne. Firma nie powinna wybierać między zatrzymaniem incydentu a analizą obowiązków — oba procesy muszą toczyć się równolegle.

W praktyce należy:

Usunięcie wiadomości, wyczyszczenie logów albo przywrócenie systemu bez zabezpieczenia dowodów może utrudnić ocenę zakresu naruszenia i wykazanie prawidłowej reakcji.

• wyznaczyć osobę koordynującą i odnotować czas otrzymania pierwszej informacji;
• ograniczyć trwające zagrożenie, np. zablokować konto, odwołać link lub klucze dostępu;
• zabezpieczyć logi, wiadomości, kopie konfiguracji i inne dowody;
• ustalić, czy organizacja działa jako administrator, współadministrator czy procesor;
• zidentyfikować systemy, kategorie danych, grupy osób i prawdopodobną skalę;
• ocenić możliwe konsekwencje dla osób;
• prowadzić chronologię ustaleń, decyzji i działań naprawczych.

Jak ocenić ryzyko dla osób?

Ocena nie powinna opierać się wyłącznie na liczbie rekordów. Naruszenie dotyczące jednej osoby może powodować wysokie ryzyko, jeżeli ujawnia dane o zdrowiu, dokument tożsamości, hasła, sytuację finansową albo informacje pozwalające na szantaż lub kradzież tożsamości.

Trzeba uwzględnić między innymi:

Ocena ma charakter konkretny. Samo oświadczenie przypadkowego odbiorcy, że usunął wiadomość, może zmniejszać ryzyko, ale nie zastępuje analizy treści załącznika, wiarygodności odbiorcy i możliwości dalszego wykorzystania danych.

• rodzaj i wrażliwość danych;
• możliwość bezpośredniej identyfikacji osób;
• liczbę osób i zakres danych o każdej z nich;
• to, kto uzyskał lub mógł uzyskać dostęp;
• czy dane były skutecznie zaszyfrowane lub pseudonimizowane;
• możliwe skutki finansowe, społeczne, zawodowe lub osobiste;
• szczególną sytuację osób, np. dzieci, pracowników albo pacjentów;
• czy naruszenie nadal trwa i czy jego skutki można realnie ograniczyć.

Kiedy trzeba zgłosić naruszenie Prezesowi UODO?

Administrator zgłasza naruszenie, chyba że jest mało prawdopodobne, aby skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Próg zgłoszenia nie jest więc ograniczony do wysokiego ryzyka.

Zgłoszenie powinno zawierać co najmniej opis charakteru naruszenia, w miarę możliwości kategorie i przybliżoną liczbę osób oraz rekordów, dane kontaktowe inspektora ochrony danych albo innego punktu kontaktowego, opis możliwych konsekwencji oraz środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu.

Jeżeli pełnych informacji nie można udzielić od razu, RODO pozwala przekazywać je sukcesywnie bez zbędnej zwłoki. Po przekroczeniu 72 godzin do zgłoszenia trzeba dołączyć wyjaśnienie przyczyn opóźnienia. Nie oznacza to, że spóźnione zgłoszenie można pominąć.

Kiedy trzeba zawiadomić osoby, których dane dotyczą?

Zawiadomienie osób jest wymagane bez zbędnej zwłoki, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności. Komunikat powinien być napisany jasnym i prostym językiem oraz wyjaśniać charakter naruszenia, możliwe skutki, działania firmy i kroki, które odbiorca może podjąć.

RODO przewiduje wyjątki. Indywidualne zawiadomienie może nie być potrzebne między innymi wtedy, gdy dane były zabezpieczone w sposób czyniący je nieczytelnymi dla osoby nieuprawnionej, firma zastosowała późniejsze środki eliminujące wysokie ryzyko albo kontakt z każdą osobą wymagałby niewspółmiernie dużego wysiłku — w ostatnim przypadku potrzebny jest jednak skuteczny komunikat publiczny lub podobne rozwiązanie.

Zawiadomienia nie należy pisać wyłącznie z perspektywy ochrony reputacji firmy. Odbiorca powinien dowiedzieć się, co rzeczywiście może mu grozić oraz czy powinien zmienić hasło, zablokować dokument, obserwować rachunek, uważać na phishing albo skontaktować się z określonym podmiotem.

Jak przygotować firmę, zanim wydarzy się incydent?

Największe opóźnienia zwykle nie wynikają z braku formularza, lecz z niejasnych ról, braku aktualnej listy systemów i dostawców oraz braku osób uprawnionych do podjęcia decyzji poza godzinami pracy. Procedura powinna określać kanał zgłoszeń, zastępstwa, kryteria eskalacji, sposób zabezpieczenia dowodów i wzory rejestru, zgłoszenia oraz zawiadomienia.

Punktem wyjścia może być audyt RODO, ale procedurę trzeba przetestować na konkretnym scenariuszu. Ćwiczenie ujawnia, czy dział IT potrafi szybko ustalić zakres zdarzenia, czy umowy z dostawcami wymagają terminowych komunikatów i czy osoby decyzyjne otrzymują informacje potrzebne do oceny ryzyka.