Kalkulator wagi naruszeń RODO

Naruszenie danych osobowych to sytuacja, kiedy dane osobowe, którymi firma lub organizacja zarządza, zostają niewłaściwie zniszczone, zmienione, ujawnione, utracone, skradzione. Może to nastąpić w różny sposób - na przykład, kiedy ktoś włamie się do systemu informatycznego firmy i skopiuje dane, kiedy pracownik przypadkowo wysyła e-mail z danymi do niewłaściwej osoby, lub kiedy dokumenty z danymi zostaną zgubione lub skradzione.

Naruszenie danych osobowych jest poważnym problemem, ponieważ może prowadzić do naruszenia praw osób, których dane dotyczą. Przykładowo, jeśli twoje dane osobowe, takie jak imię, adres czy numer telefonu, dostaną się w niewłaściwe ręce, mogą one zostać wykorzystane do celów, na które nie wyraziłeś zgody, takich jak niezamówiony marketing, oszustwa, czy nawet kradzież tożsamości.

Dlatego tak ważne jest, aby firmy i organizacje odpowiednio zabezpieczały dane, którymi zarządzają, i przestrzegały przepisów RODO. W przypadku naruszenia, które skutkuje ryzykiem dla praw i wolności podmiotów danych, należy powiadomić PUODO, jeśli ryzyko jest wysokie, także osoby, których dane zostały naruszone.

Naruszenia ochrony danych osobowych mogą wystąpić w wielu różnych formach, do najczęstszych można zaliczyć:

• Ataki hakerskie - To są sytuacje, w których cyberprzestępcy włamują się do systemów komputerowych, aby ukraść dane osobowe. Może to obejmować taktyki jak ransomware, ataki typu "man-in-the-middle", i inne
• Błędy pracowników - naruszenia danych często są wynikiem błędów popełnionych przez pracowników. Może to obejmować przesyłanie danych osobowych na niewłaściwe adresy e-mail, utratę sprzętu zawierającego dane osobowe, czy niezabezpieczanie swojego komputera przed nieautoryzowanym dostępem.
• Nieodpowiednie zabezpieczenia - Jeśli organizacja nie ma odpowiednich zabezpieczeń, to jest duża szansa, że dane osobowe mogą zostać skradzione. Może to obejmować brak szyfrowania dysków, brak zabezpieczeń sieciowych, czy brak odpowiednich polityk dotyczących bezpieczeństwa informacji.
• Włamania fizyczne - W niektórych przypadkach przestępcy mogą fizycznie włamać się do budynku, aby ukraść sprzęt zawierający dane osobowe, jak komputery czy dyski twarde.
• Spoofing i phishing - Te ataki polegają na podszywaniu się pod zaufane osoby lub organizacje, aby skłonić ofiary do ujawnienia swoich danych osobowych.
• Malware i spyware - Są to programy komputerowe, które mogą zostać zainstalowane na komputerze ofiary bez jej wiedzy, a następnie mogą zbierać i przesyłać dane osobowe.
• Naruszenia przez dostawców trzecich - Naruszenie może być także skutkiem działań lub zaniechań podmiotu przetwarzającego.

Jeśli dojdzie do naruszenia ochrony danych osobowych, należy rozważyć następujące kroki:

• Zidentyfikuj i zrozum naruszenie: Pierwszym krokiem jest ustalenie stanu faktycznego i zrozumienie co się stało. Czy to był atak hakerski, błąd pracownika, czy problem z zabezpieczeniami systemu? Jakie i czyje dane zostały naruszone?
• Zminimalizuj szkody: Jeśli to możliwe, podejmij natychmiastowe działania w celu zminimalizowania szkód. Może to być zmiana haseł, odłączenie od sieci komputera, na którym doszło do naruszenia.
• Przeprowadź dochodzenie: Przeprowadź szczegółowe dochodzenie, aby dowiedzieć się, jak doszło do naruszenia i jak można zapobiec podobnym incydentom w przyszłości.
• Wprowadź poprawki: Na podstawie wyników dochodzenia, wprowadź poprawki do swoich procedur i systemów, aby zapobiec podobnym naruszeniom w przyszłości. Może to obejmować szkolenie personelu, ulepszanie zabezpieczeń systemów IT, lub wprowadzenie lepszych procedur zarządzania danymi.
• Oceń naruszenie i w razie potrzeby zgłoś naruszenie do PUODO Rozważ konieczność zgłoszenia naruszenia do organu nadzorczego w świetle art. 33 RODO. W Polsce takim organem jest Prezes Urzędu Ochrony Danych Osobowych. Pomocniczo możesz skorzystać z Kalkulatora Wagi Naruszeń ODO 24.
• W razie potrzeby zawiadom osoby, których dane dotyczą: Jeżeli naruszenie może spowodować "wysokie ryzyko naruszenia praw lub wolności osób fizycznych", należy powiadomić o tym fakcie osoby, których dane dotyczą. Zakres informacji niezbędnych w zawiadomieniu określa art. 34 RODO.

Zgodnie z art. 33 ust. 1 RODO, naruszenie ochrony danych osobowych powinno być zgłoszone Prezesowi UODO, nie później niż 72 godziny po stwierdzeniu naruszenia.

Należy pamiętać o przewidzianym przez Grupę Roboczą w art. 29 (obecnie EROD) terminie na przeprowadzenie krótkiego „śledztwa” (czasu na zbadanie zdarzenia i dokonanie stwierdzenia naruszenia).

Zgodnie z art. 34 RODO, jeżeli naruszenie ochrony danych osobowych może spowodować "wysokie ryzyko naruszenia praw lub wolności osób fizycznych", administrator danych ma obowiązek bez zbędnej zwłoki powiadomić o tym fakcie osoby, których dane dotyczą.

Zakres zawiadomienia powinien zawierać m.in. opis charakteru zdarzenia, dane do kontaktu z IOD, możliwe konsekwencje zdarzenia, informacje dotyczące podjętych środków, w tym środków w celu minimalizacji ewentualnych skutków naruszenia.

Komunikacja powinna być przeprowadzona w sposób bezpośredni, np. przez e-mail, list, telefon, chyba że wymagałoby to niewspółmiernego wysiłku. W takim przypadku dopuszczalne jest skorzystanie z publicznego środka komunikacji, np. prasowego, telewizyjnego lub internetowego.

Tak, Prezes UODO jest uprawniony nakładania kar finansowych za naruszenia ochrony danych osobowych. Kara może wynosić do 20 milionów euro lub do 4% całkowitego rocznego obrotu na całym świecie z poprzedniego roku, w zależności od tego, która kwota jest wyższa.

Wysokość kary zależy od wielu czynników, takich jak: rodzaj naruszenia, przypadkowe lub celowe naruszenie, jakie kroki podjęto w celu zapobieżenia naruszeniu, czy naruszenie zostało zgłoszone organowi, jak wiele osób zostało dotkniętych i jakie dane zostały naruszone. Przed nałożeniem kary, Prezes UODO przeprowadza postępowanie, podczas którego ocenia te czynniki.

Konsekwencje naruszenia ochrony danych mogą być bardzo poważne, oto niektóre z nich:

• Kary finansowe: Kary mogą wynieść do 20 milionów euro lub do 4% rocznego globalnego obrotu przedsiębiorstwa - zależnie od tego, która wartość jest wyższa.
• Reputacja:Naruszenie ochrony danych może poważnie narazić reputację firmy. Klienci mogą stracić zaufanie do firmy, która nie była w stanie ochronić ich danych osobowych. Oznacza to, że mogą zdecydować się nie korzystać z jej usług lub produktów w przyszłości.
• Strata biznesu: W wyniku utraty zaufania klientów, firma może doświadczyć spadku sprzedaży lub utraty klientów. Kontrahenci mogą zerwać kontrakty biznesowe, jeśli firma nie jest w stanie zapewnić odpowiedniego poziomu ochrony danych.
• Koszty związane z naruszeniem: Mogą to być np. koszty naprawy systemów informatycznych, koszty prawne, koszty związane z zawiadamianiem osób, których dane dotyczą o naruszeniu, czy koszty związane z zaspokojeniem zgłoszonych roszczeń.
• Koszty związane z poprawkami: Firma może być zobligowana do wprowadzenia poprawek w swoich systemach i procedurach w celu zapobiegania przyszłym naruszeniom, co również może wiązać się z kosztami.
• Inne konsekwencje prawne: Oprócz kar finansowych, mogą wystąpić inne konsekwencje prawne, w tym w postaci postępowania o zadośćuczynienie.

Przypadki obowiązku zgłoszenia naruszenia ochrony danych określa art. 33 RODO. Zgłoszenie powinno nastąpić do Prezesa Urzędu Ochrony Danych Osobowych. W przypadku większości naruszeń, zgłoszenie powinno nastąpić nie później niż 72 godziny od stwierdzenia naruszenia. Zgłoszenie może być dokonane elektronicznie lub drogą pisemną.

Tak, kary za naruszenie przepisów RODO mogą być nałożone nawet w przypadku przypadkowego naruszenia. Niezależnie od tego, czy naruszenie było celowe czy przypadkowe, administrator danych jest zobowiązany do zapewnienia ochrony danych osobowych i może zostać pociągnięty do odpowiedzialności za ich naruszenie.

Przypadkowy lub celowy charakter naruszenia będzie jednak jednym z czynników branych pod uwagę w toku postępowania prowadzonego przez Prezesa Urzędu Ochrony Danych Osobowych i może mieć wpływ np. na wysokość kary.