Jak poradzić sobie z naruszeniem ochrony danych – poradnik z perspektywy administratora (firmy)

Czym jest naruszenie ochrony danych

Naruszeniem ochrony danych jest naruszenie bezpieczeństwa, które prowadzi do:

• przypadkowego lub niezgodnego z prawem zniszczenia, utracenia danych osobowych (naruszenie dostępności),
• przypadkowego lub niezgodnego z prawem zmodyfikowania danych osobowych (naruszenie integralności),
• nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych (naruszenie poufności).

Naruszenie może wynikać zarówno z przyczyn leżących po stronie administratora, jak i z powodów od niego niezależnych. Ważne jest jednak, by administrator odpowiednio zabezpieczył dane, przewidując różne scenariusze zdarzeń.

Niestety nawet najbardziej zaawansowane środki ochrony danych osobowych nie eliminują zagrożenia naruszeniem w zupełności.

Najpopularniejsze naruszenia

Wraz z rozwojem technologii zwiększa się spektrum działań lub zaniechań, które mogą doprowadzić do naruszenia poufności, integralności lub dostępności danych osobowych. Poniżej przykłady tych typów naruszeń, które według naszego doświadczenia przytrafiają się administratorom najczęściej:

• mail (lub pismo) wysłane na niewłaściwy adres,
• pomylone dokumenty w wysyłanych paczkach,
• naruszenia związane z niewłaściwym zabezpieczeń od strony IT, w tym ataki hackerskie,
• zagubienie przez pracowników dokumentów lub sprzętu,
• zablokowanie dostępności do danych osobowych, np. z powodu ich zaszyfrowania,
• niewłaściwa anonimizacja danych osobowych,
• niewłaściwe niszczenie archiwalnej dokumentacji,
• nieuzasadnione udostępnianie nagrań z monitoringu.

Jeszcze przed naruszeniem

Mając nadzieję, że nie czytasz tego artykułu już po wystąpieniu naruszenia, w pierwszej kolejności postaraj się zadbać o to, by do naruszenia nie doszło. Możesz to zrobić, wdrażając środki techniczne i organizacyjne, które będą dostosowane do:

• stanu wiedzy technicznej,
• kosztu wdrażania oraz
• charakteru, zakresu, kontekstu i celów przetwarzania oraz ryzyka naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia.

Jednym ze środków organizacyjnych jest także wprowadzenie odpowiednich polityk i procedur. Kluczowe jest, by były one opracowane przy użyciu jasnego i prostego języka. Zdecydowanie należy także zarekomendować, aby pracownicy potwierdzili zapoznanie się z tymi procedurami. Ich treść powinna bezwzględnie obejmować instrukcję dla pracowników związaną z naruszeniami ochrony danych. Ta instrukcja powinna informować pracowników przede wszystkim o:

• konieczności niezwłocznego zgłaszania zdarzeń mogących być naruszeniami osobom odpowiedzialnym w organizacji za ochronę danych. Pracownik musi mieć świadomość, że na zgłoszenie naruszenia organizacja ma zaledwie 72 godziny.
• zakazie samodzielnego zarządzania zdarzeniami mogącymi być naruszeniami ochrony danych.

Jeżeli jako administrator będziesz w stanie wykazać, że Twój pracownik zapoznał się z taką instrukcją, masz większe szanse na uniknięcie odpowiedzialności za niewdrożenie odpowiednich środków organizacyjnych ochrony danych.

Brak tych środków może - w przypadku niektórych rodzajów naruszeń - prowadzić do tego, że pomimo obowiązku, nie zgłosisz ich PUODO lub nie zawiadomisz o nich osób, których dane dotyczą.

Stwierdzenie naruszenia

Stwierdzenie naruszenia to kluczowy moment. Otwiera bieg 72-godzinnego terminu na zgłoszenie naruszenia do PUODO.

Do stwierdzenia naruszenia dochodzi, gdy administrator ma wystarczający stopień pewności co do tego, że miało miejsce zdarzenie zagrażające bezpieczeństwu, które doprowadziło do naruszenia ochrony danych osobowych. Nie trzeba zatem mieć pełnej wiedzy o tym, jakie kategorie i czyje konkretnie dane osobowe.

Trzeba też podkreślić, że moment stwierdzenia nie jest tym samym, co moment wystąpienia naruszenia.

Problematyczne jest zagadnienie, jak liczyć 72-godzinny termin na zgłoszenie naruszenia w przypadku, gdy naruszenie zostaje najpierw stwierdzone przez procesora (podmiot przetwarzający). Według mnie właściwe jest podejście, w myśl którego termin ten rozpoczyna swój bieg dopiero od momentu, gdy procesor zgłosi naruszenie administratorowi, co oznacza, że stwierdzenie naruszenia przez procesora nie jest jednoznaczne ze stwierdzeniem naruszenia przez administratora. Należy jednak odnotować, że jest też prezentowany pogląd odmienny.

Analiza wagi naruszenia

Aby ustalić, jakie obowiązki ciążą na administratorze w związku z konkretnym naruszeniem, należy w pierwszej kolejności określić wagę tego naruszenia.

Narzędzia RODO

Kalkulator

wagi naruszeń RODO

Dzięki naszemu kalkulatorowi „zmierzysz” ryzyka związane z naruszeniem ochrony danych i dowiesz się, jakie działania powinieneś podjąć.

Oceń naruszenie

Możesz także przeprowadzić ocenę, nie korzystając z zewnętrznych narzędzi. W tym celu możesz posłużyć się następującym wzorem, opracowanym przez Agencję Unii Europejskiej ds. Bezpieczeństwa Sieci i Informacji:

Kontekst Przetwarzania Danych

Wartość kontekstu przetwarzania zawiera się w przedziale liczbowym 1-4.

Prawdopodobieństwo Identyfikacji:

Okoliczności Naruszenia:

• Naruszenie Poufności - Dane ujawnione:
  • Znanym odbiorcom (+0,25)
  • Nieznanej liczbie odbiorców danych (+0,5)
• Naruszenie Integralności - Dane zmienione i:
  • Możliwe jest ich odzyskanie (+0,25)
  • Brak jest możliwości ich odzyskania (+0,5)
• Naruszenie Dostępności - Niedostępność danych:
  • Czasowa (+0,25)
  • Pełna i brak możliwości ich odzyskania przez administratora lub podmiot danych (+0,5)
• Intencjonalne działanie sprawcy (+0,5)

Cały proces powinien zostać przeprowadzony, w miarę możliwości, obiektywnie. Jako administrator powinieneś unikać podchodzenia do procesu analizy wagi naruszenia z gotową tezą, np. „na pewno moje naruszenie nie jest aż tak istotne."

Błędna ocena wagi naruszenia może doprowadzić do tego, że nie zgłosisz go do PUODO i nie zawiadomisz osób, których dane dotyczą, pomimo że będzie to obligatoryjne.

W toku oceny wagi naruszenia bierze się pod uwagę elementy takie jak:

• zakres kategorii danych objętych naruszeniem,
• specyfika administratora,
• łatwość identyfikacji osoby,
• w zależności od typu naruszenia:
  • w przypadku naruszenia poufności - czy doszło do ujawnienia znanym odbiorcom;
  • w przypadku naruszenia integralności - czy jest możliwe skorygowanie danych;
  • w przypadku naruszenia dostępności - czy utrata dostępności jest permanentna czy czasowa;
• intencjonalność działania sprawcy naruszenia.

Wszystkie wyżej wskazane parametry mają umożliwić ocenę, czy zdarzenie powoduje wysokie, średnie czy niskie ryzyko naruszenia praw i wolności osób fizycznych.

Dokumenty przydatne przy analizie wagi naruszenia:

• Wytyczne Grupy Roboczej art. 29 dotyczące zgłaszania naruszeń ochrony danych osobowych na mocy rozporządzenia 2016/679 (WP250);
• Wytyczne EROD 1/2021 w sprawie przykładów zgłaszania naruszeń ochrony danych osobowych.

Warto przypomnieć, że z określoną wagą naruszenia RODO wiąże konkretne obowiązki po stronie administratora.

Przykłady:

Wartość WN jest niższa niż 2, a zatem naruszenie ma wagę niską.

Wartość WN przekracza 4, a zatem naruszenie ma wagę bardzo wysoką.

Obowiązki przy każdym naruszeniu

W przypadku każdego typu naruszenia na administratorze ciążą obowiązki:

• odnotowania naruszenia w rejestrze incydentów,
• wdrożenia środków minimalizujących skutki naruszenia oraz
• wdrożenia środków zapobiegających podobnym naruszeniom w przyszłości.

Rejestr incydentów powinien zawierać takie informacje, by bez trudu można było zorientować się, w jego treści, w szczególności: która pozycje dotyczą którego naruszenia i jakie obowiązki związane z danym naruszeniem zostały (i kiedy) lub nie zostały wykonane.

Jeżeli chodzi o środki minimalizujące skutki naruszenia, to mogły one zostać wdrożone zarówno przed wystąpieniem naruszenia (np. szyfrowanie dysku w skradzionym laptopie), jak i po jego zaistnieniu (np. odcięcie dostępów).

Środki zapobiegające podobnym naruszeniom w przyszłości to rozwiązania, które powinny być ściśle skorelowane z podatnościami, które doprowadziły do wystąpienia naruszeń. Mogą to być chociażby:

• skierowanie pouczenia do pracownika, który popełnił błąd i wysłał niewłaściwy załącznik z danymi osobowymi klienta,
• wdrożenie szyfrowania danych na laptopach służbowych, jeżeli w wyniku jego braku doszło do naruszenia poufności danych,
• wdrożenie kopii zapasowej, jeżeli w wyniku jej braku utracono permanentnie dostęp do danych.

Zgłoszenie naruszenia PUODO

Zgłoszenie odbywa się przy pomocy dedykowanego formularza. Jeżeli naruszenie ma wagę średnią lub wysoką, to zgłoszenia należy dokonać w ciągu 72 godzin, licząc od stwierdzenia naruszenia. Należy zwrócić uwagę, że momentem stwierdzenia naruszenia nie jest moment ukończenia analizy wagi naruszenia.

Analiza wagi naruszenia powinna zostać przeprowadzona w ciągu 72 godzin, tak aby przed upływem tego terminu było możliwe zgłoszenie naruszenia, jeżeli zajdzie taka potrzeba.

Problematyczna wydaje się być sytuacja, w której administrator wprawdzie stwierdził naruszenie, ale przegapił termin na jego zgłoszenie. Wtedy pokusa przemilczenia zdarzenia jest jeszcze silniejsza. Nie jest to jednak rozwiązanie rekomendowane. W takim przypadku lepiej ustalić przyczynę opóźnienia i rzetelnie wskazać ją w miejscu, które zostało przewidziane na taką ewentualność w formularzu zgłoszenia naruszenia.

Zgłaszanie naruszeń - podstawowe błędy

• niewłaściwe ustalenie momentu stwierdzenia naruszenia -- może przełożyć się bezpośrednio na błędne ustalenie momentu, kiedy upływa 72-godzinny termin na zgłoszenie naruszenia, a w efekcie -- do przekroczenia tego terminu;
• niewłaściwe określenie charakteru naruszenia -- w tym zakresie istnieją trzy możliwości: (i) naruszenie dostępności, (ii) naruszenie integralności i (iii) naruszenie poufności danych. Może zdarzyć się tak, że jedno naruszenie posiada dwojaki charakter. Na przykład w przypadku ataku hakerskiego może dojść zarówno do utraty danych przez administratora, jak i do uzyskania przez hakerów dostępu do tych danych (naruszenie dostępności i poufności);
• niewłaściwa ocena wagi naruszenia -- czyli prawdopodobieństwa naruszenia praw i wolności osoby. Skutki tego błędu mogą być dla administratora wyjątkowo niekorzystne. Jeżeli administrator ustali niską wagę naruszenia, a prawidłowa ocena powinna doprowadzić go do wniosku, że waga ta jest średnia lub wysoka, administrator może zostać ukarany za brak zgłoszenia naruszenia do UODO i za brak zawiadomienia osób, których dane dotyczą, o naruszeniu;
• niepełny opis naruszenia -- jeżeli opis naruszenia będzie budził wątpliwości, stanowi to zachętę dla UODO do zagłębienia się w temat i dokładnego przepytania administratora;
• niewskazanie terminów realizacji środków minimalizujących skutki naruszenia lub środków minimalizujących ryzyko ponownego wystąpienia tego typu naruszenia -- UODO może oczekiwać potwierdzenia, że środki deklarowane przez administratora faktycznie zostały wdrożone. Może to polegać na zwróceniu się z prostym zapytaniem, czy środki zostały zrealizowane. Czasami urząd prosi o przesłanie dowodów, które potwierdzą wykonanie czynności, do których administrator się zobowiązał.

Zawiadomienie osób, których dane dotyczą

Wysoka waga naruszenia uzasadnia zawiadomienie osób, których dane dotyczą. Takie zawiadomienie powinno nastąpić niezwłocznie.

RODO przewiduje, że powinno obejmować ono w swojej treści co najmniej:

• charakter naruszenia,
• imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji,
• możliwe konsekwencje naruszenia,
• proponowane lub zastosowane środki zaradcze.

Inaczej mówiąc, osoba powinna dowiedzieć się z zawiadomienia, na czym polegało naruszenie, jakie były jego okoliczności, jakich danych dotyczy, z kim może się kontaktować w sprawie naruszenia oraz czym naruszenie może skutkować i co można zrobić (a także co już zrobiono), by tych negatywnych skutków uniknąć.

Podstawowe błędy przy zawiadamianiu osób

• pominięcie obowiązkowych elementów zawiadomienia;
• błędne przekonanie, że zachodzą przesłanki zwalniające z obowiązku zawiadomienia osób o naruszeniu;
• zawiadomienie z naruszeniem zasady „niezwłoczności" zawiadomienia -- aby zawiadomienie pomogło osobie uniknąć skutków naruszenia, powinno być dokonane możliwie szybko.

Musisz jednak wiedzieć, że posługiwanie się przesłanką niewspółmiernie dużego wysiłku jest ryzykowne, ponieważ jest to określenie nieostre. Nie ma gwarancji, że akurat Twój przypadek zostanie uznany za taki, w którym zawiadomienie będzie wymagało niewspółmiernie dużego wysiłku.

Co dalej?

Bardzo ważne jest, by podczas postępowania prowadzonego w związku z naruszeniem dbać o rzetelne, uczciwe i terminowe prowadzenie korespondencji z PUODO. Zdarza się, że urząd zwraca się z dodatkowymi pytaniami uszczegóławiającymi, a wówczas należy przesłać odpowiedź w czasie wskazanym w piśmie.

Jeżeli z jakichś przyczyn przewidujesz, że nie zdążysz udzielić odpowiedzi w terminie wyznaczonym przez PUODO, spróbuj kontaktu telefonicznego z urzędem, a niezależnie wyślij pismo z prośbą o przedłużenie terminu.

Podsumowanie

Naruszenia ochrony danych brzmią jak zmora przedsiębiorców, ale w rzeczywistości ich przemilczenie może powodować gorsze konsekwencje niż odpowiednia reakcja.

W tym kontekście warto przytoczyć kilka przykładów kar, jakie UODO nałożył w związku z niewykonaniem obowiązków zgłoszenia naruszenia i/lub zawiadomienia osób o naruszeniu: