Naruszenie ochrony danych — co zrobić w ciągu 72 godzin

Wyciek bazy klientów, ransomware, zgubiony służbowy laptop, mail z listą pracowników wysłany do niewłaściwego odbiorcy, kradzież dokumentów z auta — każde z tych zdarzeń może być naruszeniem ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO. Od chwili, gdy stwierdziłeś naruszenie, tyka zegar 72 godzin na zgłoszenie do Prezesa UODO (art. 33 RODO). Poniżej praktyczny plan reakcji krok po kroku — pisany dla firm, które nie mają dedykowanego zespołu compliance ani prawnika w sprawach RODO.

Co to jest naruszenie ochrony danych

Zgodnie z art. 4 pkt 12 RODO naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem:

• zniszczenia danych osobowych,
• utracenia danych osobowych,
• zmodyfikowania danych osobowych,
• nieuprawnionego ujawnienia danych osobowych,
• nieuprawnionego dostępu do danych osobowych,

które są przesyłane, przechowywane lub w inny sposób przetwarzane. Definicja jest bardzo szeroka — naruszenie nie oznacza tylko cyberataku. Zgubiony USB, mail do złego odbiorcy, wyrzucone do kontenera niezniszczone dokumenty kadrowe, kradzież torby z laptopem — to wszystko klasyczne naruszenia zgłaszane do UODO każdego tygodnia.

Typowe zdarzenia, które są naruszeniem ochrony danych:

• Mail z listą kontaktów lub bazą klientów wysłany do niewłaściwego odbiorcy (misdirected email).
• Utrata lub kradzież nośnika: laptopa, telefonu, pendrive'a, dysku zewnętrznego z niezaszyfrowanymi danymi.
• Włamanie hakerskie do systemu, w którym są przechowywane dane osobowe.
• Atak ransomware — dane zaszyfrowane przez atakującego, częściowa lub całkowita utrata dostępu.
• Publikacja pliku z danymi osobowymi na publicznym serwerze bez uwierzytelnienia (np. otwarty bucket S3).
• Ujawnienie danych klienta osobie postronnej przez pracownika (nieuprawnione udostępnienie).
• Utrata dokumentów papierowych — kartoteki, akta osobowe, umowy.
• Błąd konfiguracyjny systemu ujawniający dane w wyszukiwarkach (indeksowanie strony logowania z parametrami).
• Nieuprawnione zmiany w bazie danych przez byłego pracownika po zakończeniu współpracy.
• Wypadek losowy — pożar, zalanie serwerowni skutkujące utratą kopii zapasowych.

Trzy typy naruszeń — poufność, integralność, dostępność

UODO w formularzu zgłoszeniowym i Europejska Rada Ochrony Danych (EROD) w wytycznych 9/2022 klasyfikują naruszenia według tego, którą właściwość danych naruszyły:

Jedno zdarzenie może realizować więcej niż jeden typ jednocześnie — np. udany atak ransomware to zwykle naruszenie dostępności (dane zaszyfrowane) i poufności (dane wykradzione przed zaszyfrowaniem). Klasyfikacja wpływa na treść zgłoszenia i ocenę ryzyka.

Od kiedy tyka zegar 72 godzin

Art. 33 ust. 1 RODO stanowi, że administrator zgłasza naruszenie bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia. Kluczowe jest słowo stwierdzenie — nie moment, w którym incydent faktycznie nastąpił.

Zgodnie z wytycznymi EROD 9/2022 administrator stwierdza naruszenie w chwili, gdy uzyskuje racjonalny stopień pewności, że doszło do zdarzenia bezpieczeństwa powodującego skutki określone w art. 4 pkt 12 RODO. To nie musi być pewność 100% — wystarczy uzasadnione przekonanie, że naruszenie nastąpiło.

Krytyczne pytania w praktyce:

• Kto po stronie administratora musi wiedzieć, żeby ruszył zegar? Nie liczy się chwila, gdy szeregowy pracownik obsługi klienta zauważył coś dziwnego — liczy się moment, gdy informacja dotarła do osoby, która ma realną możliwość podjąć decyzję (kierownik, zarząd, IOD, dedykowany zespół bezpieczeństwa).
• Czy weekend i święta wstrzymują bieg terminu? Nie. 72 godziny to 72 godziny kalendarzowe. Jeżeli naruszenie stwierdzono w piątek wieczorem, deadline wypada w poniedziałek wieczorem.
• Co, jeżeli potrzebuję czasu na analizę, żeby stwierdzić naruszenie? Wstępna analiza techniczna nie liczy się do 72 h — dopóki nie masz racjonalnej pewności, że naruszenie nastąpiło, zegar nie tyka. Ale nie możesz „nie chcieć wiedzieć" — świadome opóźnianie ustalenia stanu faktycznego to okoliczność obciążająca.

Ocena ryzyka — trzy scenariusze

Nie każde naruszenie trafia do UODO. RODO wprowadza trójstopniowy system oparty o poziom ryzyka dla praw i wolności osób fizycznych:

Ocena ryzyka opiera się o analizę następujących czynników (EROD 9/2022):

• Rodzaj naruszenia — czy dane wyciekły do konkretnej znanej osoby, czy do internetu, czy tylko zaszyfrowane.
• Rodzaj danych — dane szczególnych kategorii (art. 9 RODO — zdrowie, wyznanie, orientacja seksualna), dane finansowe, numery PESEL, dokumenty tożsamości → wysokie ryzyko niemal automatycznie.
• Możliwość identyfikacji — czy dane są bezpośrednio identyfikujące, czy tylko pośrednio.
• Waga konsekwencji — kradzież tożsamości, oszustwo, dyskryminacja, szkoda majątkowa, uszczerbek na reputacji.
• Kategorie i liczba osób — dzieci, pracownicy, klienci, osoby publiczne — vs skala od 1 osoby do bazy milionowej.
• Charakter administratora — bank/ubezpieczyciel vs mikrofirma usługowa.

W praktyce prostym testem jest pytanie: czy osoba, której dane wyciekły, powinna coś zrobić w reakcji — zmienić hasło, obserwować konto bankowe, założyć zastrzeżenie w BIK? Jeżeli tak — ryzyko jest wysokie i osoby trzeba zawiadomić.

Zgłoszenie do Prezesa UODO — krok po kroku

Zgłoszenie następuje elektronicznie przez formularz na stronie uodo.gov.pl (sekcja „Zgłoszenie naruszenia ochrony danych osobowych"). Alternatywnie można wysłać dokument podpisany kwalifikowanym podpisem elektronicznym przez ePUAP.

Formularz UODO wymaga podania następujących informacji (art. 33 ust. 3 RODO):

1. Charakter naruszenia — poufność / integralność / dostępność, opis zdarzenia w prostym języku.
2. Kategorie i przybliżona liczba osób, których dane dotyczą (np. „ok. 450 klientów sklepu internetowego").
3. Kategorie i przybliżona liczba wpisów danych osobowych (np. „imię, nazwisko, adres e-mail, adres dostawy, historia zamówień").
4. Dane kontaktowe IOD lub innego punktu kontaktowego (jeśli firma IOD nie wyznaczyła).
5. Możliwe konsekwencje naruszenia — spam, phishing, kradzież tożsamości, oszustwo finansowe.
6. Środki podjęte lub proponowane w celu zaradzenia naruszeniu i zminimalizowania skutków — techniczne, organizacyjne, informacyjne.

Formularz można wypełnić etapami — RODO wprost dopuszcza zgłoszenie częściowe. Jeśli w 72 godziny nie masz jeszcze pełnych informacji (np. dokładnej liczby dotkniętych osób), zgłaszasz to, co wiesz, i uzupełniasz później w trybie informacji uzupełniającej do zgłoszenia nr….

Do zgłoszenia dołącza się (jeśli są dostępne): logi systemowe, korespondencję potwierdzającą incydent, kopie ekranu, raport techniczny, listę osób dotkniętych.

Zawiadomienie osób, których dane dotyczą

Zgodnie z art. 34 ust. 1 RODO, jeżeli naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu.

Zawiadomienie (art. 34 ust. 2 RODO) musi:

• być sformułowane jasnym i prostym językiem — bez prawniczej frazeologii,
• opisać charakter naruszenia,
• zawierać imię i nazwisko oraz dane kontaktowe IOD lub innego punktu kontaktowego,
• opisać możliwe konsekwencje naruszenia,
• opisać środki, które administrator zastosował lub proponuje w celu zaradzenia naruszeniu — w tym środki w celu zminimalizowania jego ewentualnych negatywnych skutków,
• zawierać konkretne zalecenia dla osoby — np. „zalecamy zmianę hasła w usłudze X", „prosimy monitorować konto bankowe w najbliższych tygodniach", „w razie próby wyłudzenia kredytu prosimy o zastrzeżenie dokumentu na dokumentzastrzezony.pl".

Zawiadomienie może być zwolnione (art. 34 ust. 3 RODO), jeżeli:

• dane były zabezpieczone środkami technicznymi (np. zaszyfrowane) uniemożliwiającymi ich odczyt osobom nieuprawnionym,
• administrator zastosował następnie środki eliminujące prawdopodobieństwo wystąpienia wysokiego ryzyka,
• wymagałoby to niewspółmiernie dużego wysiłku — w takim przypadku wydaje się publiczny komunikat (strona www, ogłoszenie w prasie).

Forma zawiadomienia zależy od skali: pojedyncze osoby — indywidualny mail lub list, kilkaset — mass mail z personalizacją, kilkadziesiąt tysięcy — komunikat na stronie + notatka prasowa + mail do dostępnych adresów. UODO może zażądać publicznego komunikatu, jeśli uzna, że indywidualne zawiadomienie jest niewykonalne (art. 34 ust. 4 RODO).

Wewnętrzny rejestr naruszeń

Art. 33 ust. 5 RODO nakłada obowiązek prowadzenia wewnętrznego rejestru wszystkich naruszeń — także tych, których nie zgłoszono do UODO, bo ocena ryzyka pokazała, że jest niskie. Rejestr będzie sprawdzany przy każdej kontroli UODO — jest to pierwszy dokument, o który organ prosi.

Rejestr powinien zawierać dla każdego wpisu:

• datę i godzinę stwierdzenia naruszenia,
• datę i godzinę zdarzenia (jeśli inna),
• okoliczności naruszenia — kto/co/gdzie/jak,
• rodzaj i skalę danych osobowych,
• kategorie i liczbę osób,
• wynik oceny ryzyka i uzasadnienie (kluczowe!),
• decyzję: zgłoszenie do UODO / zawiadomienie osób / tylko rejestr,
• numer zgłoszenia UODO (jeśli zgłoszono),
• środki zaradcze podjęte przez administratora,
• osobę odpowiedzialną za obsługę incydentu.

Uzasadnienie oceny ryzyka jest najważniejszym elementem rejestru dla wpisów niezgłoszonych. Jeśli UODO stwierdzi przy kontroli, że naruszenie powinno być zgłoszone, brak zgłoszenia jest naruszeniem RODO — ale dobra dokumentacja procesu decyzyjnego zwykle wystarcza, by uniknąć kary (najgorszym scenariuszem jest wtedy pouczenie).

Najczęstsze błędy przy zgłoszeniach

Z praktyki i publikowanych decyzji UODO:

• Cisza radiowa — administrator liczy, że „nikt się nie dowie". W dobie mediów społecznościowych i zgłoszeń od klientów UODO regularnie dowiaduje się o naruszeniach z prasy lub od osób poszkodowanych.
• Zgłoszenie tylko dla „grubych" incydentów — pomijanie drobnych błędów (mail do złego odbiorcy z listą kontaktów). To najczęściej zgłaszany typ naruszenia i standard branżowy.
• Brak rejestru wewnętrznego — administrator zgłasza tylko poważne przypadki, a drobnych nie dokumentuje. Kontrola UODO zaczyna się od pytania „gdzie rejestr naruszeń" — brak dokumentu to natychmiastowe naruszenie art. 33 ust. 5.
• Zawiadomienie prawniczym językiem — art. 34 ust. 2 wprost wymaga języka prostego i jasnego. Osoba, której dane wyciekły, ma zrozumieć — nie prawnik zamawiającego.
• Brak konkretnych zaleceń dla osób — komunikat mówiący tylko „doszło do incydentu, przepraszamy" bez wskazania, co osoba ma zrobić, nie spełnia art. 34 ust. 2 lit. d.
• Zbyt późne oszacowanie skali — administrator zwleka ze zgłoszeniem, żeby mieć „pełne dane". RODO wprost dopuszcza zgłoszenie częściowe i uzupełnienie później.
• Brak podpisu elektronicznego — próba zgłoszenia bez kwalifikowanego podpisu / profilu zaufanego → formularz nie zostanie zarejestrowany, a termin ucieka.

Najczęściej zadawane pytania