Naruszenie ochrony danych: co robić w pierwszych 72 godzinach

Naruszenie ochrony danych trzeba zgłosić organowi ochrony danych w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla osób, których dane dotyczą. Każde naruszenie trzeba udokumentować, także niezgłaszane.

Naruszenia rzadko wyglądają jak scena z filmu. Zwykle to e-mail z listą klientów wysłany na zły adres, laptop zostawiony w pociągu albo skrzynka przejęta przez phishing. Wtedy liczą się chłodna głowa i jasna kolejność kroków.

Co uznaje się za naruszenie

RODO mówi o „naruszeniu ochrony danych osobowych”: dane osobowe zostają zniszczone, utracone, zmienione, ujawnione bez upoważnienia lub udostępnione komuś, kto nie powinien mieć do nich dostępu, przypadkiem lub celowo. Przykłady:

• e-mail z danymi osobowymi wysłany do złego odbiorcy
• zgubiony lub skradziony laptop albo telefon z danymi klientów
• ransomware, który szyfruje serwer
• konto przejęte przez phishing

Pierwsze godziny

1. Zapisz, kiedy się o tym dowiedziałeś. Od tej chwili biegną 72 godziny.
2. Zatrzymaj wyciek: zmień hasła, zablokuj dostępy, odłącz zaatakowane urządzenia, poproś złego odbiorcę o usunięcie e-maila.
3. Ustal, co się stało, jakich danych to dotyczy i ilu osób.
4. Oceń ryzyko dla osób, których dane dotyczą: co może im się przez to stać?

Zgłaszać czy nie?

Jeśli naruszenie najprawdopodobniej nie powoduje ryzyka dla osób, których dane dotyczą, nie musisz go zgłaszać, ale musisz je udokumentować (art. 33 ust. 5 RODO). Typowy przykład: ginie zaszyfrowany laptop, a klucza przy nim nie było. We wszystkich innych przypadkach zgłoś naruszenie organowi ochrony danych bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin (art. 33 RODO). W Austrii Datenschutzbehörde udostępnia do tego formularz na swojej stronie. Jeśli nie znasz jeszcze wszystkich faktów, zgłoś to, co wiesz, i uzupełnij resztę później.

Kiedy trzeba poinformować osoby, których dane dotyczą

Jeśli ryzyko jest wysokie, np. przy danych o zdrowiu, danych bankowych lub hasłach, musisz też bez zbędnej zwłoki poinformować osoby, których dane dotyczą, prostym językiem: co się stało, co z tym robisz i co mogą zrobić same, np. zmienić hasło (art. 34 RODO).

Gdy w grę wchodzi usługodawca

Jeśli naruszenie wydarzy się u podmiotu przetwarzającego, np. twojego dostawcy IT lub usługi chmurowej, musi on poinformować cię bez zbędnej zwłoki (art. 33 ust. 2 RODO). Obowiązek zgłoszenia organowi pozostaje po twojej stronie jako administratora. Zadbaj, by umowy powierzenia to regulowały.

Przygotowanie to połowa sukcesu

Wydrukuj naszą listę kontrolną na wypadek naruszenia i ustal z góry, kto decyduje, a kto zgłasza. Jeśli to się stanie i potrzebujesz pomocy, napisz do nas.