Atak hakerski, zgubiony laptop, e-mail wysłany do nieodpowiedniego
odbiorcy - każde z tych zdarzeń może stanowić naruszenie ochrony danych
osobowych. RODO daje administratorowi dokładnie 72 godziny na zgłoszenie
incydentu do organu nadzorczego - licząc od momentu, gdy dowiedział się
o naruszeniu, nie od chwili jego faktycznego wystąpienia. Poniżej
przedstawiamy praktyczny harmonogram działań.
Godzina 0 - identyfikacja i wstępna ocena
Naruszeniem jest każde zdarzenie prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub dostępu do danych osobowych (art. 4 pkt 12 RODO). Niezwłocznie po wykryciu incydentu należy:- powiadomić Inspektora Ochrony Danych (jeśli funkcja istnieje w organizacji),
- zablokować dostęp do naruszonych zasobów (odłączyć system od sieci, zablokować konto),
- zabezpieczyć dowody - nie wolno usuwać logów ani plików przed ich udokumentowaniem,
- wstępnie ocenić skalę: ile osób dotyczy naruszenie, jakie dane zostały ujawnione.
Do 24 godzin - analiza ryzyka i decyzja o zgłoszeniu
RODO nie wymaga zgłaszania każdego naruszenia - obowiązek powstaje tylko wtedy, gdy incydent może powodować ryzyko naruszenia praw lub wolności osób fizycznych. Przy ocenie należy uwzględnić: rodzaj naruszenia (ujawnienie, utrata, modyfikacja), charakter danych (PESEL, dane medyczne, finansowe, hasła - wyższe ryzyko), liczbę osób dotkniętych oraz możliwe skutki (kradzież tożsamości, straty finansowe, dyskryminacja). Jeżeli ryzyko jest nieznaczne (np. zaszyfrowany laptop z jednym adresem e-mail), można odstąpić od zgłoszenia - decyzję tę należy jednak bezwzględnie udokumentować.Do 72 godzin - zgłoszenie do UODO
Zgłoszenia dokonuje się do Prezesa UODO przez platformę e-PUAP lub system na stronie uodo.gov.pl. Zgłoszenie powinno zawierać opis charakteru naruszenia i przybliżoną liczbę osób/rekordów, dane kontaktowe IOD lub punktu kontaktowego, opis możliwych konsekwencji oraz środki podjęte w celu zaradzenia naruszeniu. Jeśli nie wszystkie informacje są dostępne w ciągu 72 godzin, można złożyć zgłoszenie wstępne i uzupełnić je o brakujące dane.Równolegle - zawiadomienie osób poszkodowanych
Jeżeli naruszenie może powodować wysokie ryzyko (np. wyciek danych finansowych lub dokumentacji medycznej), administrator ma obowiązek poinformować o tym bezpośrednio osoby poszkodowane - bez zbędnej zwłoki (art. 34 RODO). Zawiadomienie powinno być napisane prostym językiem i zawierać opis naruszenia, dane kontaktowe, opis prawdopodobnych skutków oraz podjęte środki zaradcze. Obowiązek nie powstaje, gdy dane były skutecznie zaszyfrowane.Po incydencie - dokumentacja i wnioski
Każde naruszenie - nawet niewymagające zgłoszenia - musi być wpisane do wewnętrznego Rejestru Naruszeń (zasada rozliczalności). Następnie należy przeprowadzić analizę post-incydentową: ustalićpierwotną przyczynę, ocenić działanie procedur bezpieczeństwa i zaktualizować dokumentację RODO.
Pamiętaj!
72 godziny to nieprzekraczalny termin. Brak terminowego zgłoszenia może skutkować karą administracyjną sięgającą 10 mln euro lub 2% globalnego rocznego obrotu przedsiębiorstwa.