Wyciek bazy klientów, błędnie zaadresowany e-mail z fakturą, przejęcie konta pracownika czy utrata laptopa z dokumentami – każdy z tych incydentów może uruchomić obowiązek, jakim jest zgłoszenie naruszenia danych do UODO. Największym błędem przedsiębiorcy nie jest sam fakt wystąpienia incydentu. Jest nim chaotyczna reakcja, brak udokumentowanej oceny ryzyka albo oczekiwanie na pełne wyjaśnienie sprawy, mimo że termin już biegnie.
Dla sprzedawców internetowych, spółek i firm obsługujących dużą liczbę klientów naruszenie ochrony danych jest jednocześnie problemem prawnym, operacyjnym i reputacyjnym. Dobra procedura pozwala szybko ograniczyć skutki zdarzenia, podjąć właściwą decyzję wobec UODO oraz rzetelnie wykazać, dlaczego określone działania zostały podjęte albo dlaczego zawiadomienie nie było konieczne.
Kiedy powstaje obowiązek zgłoszenia do UODO?
Naruszenie ochrony danych osobowych to nie tylko spektakularny cyberatak. Może polegać na przypadkowym lub bezprawnym zniszczeniu danych, ich utracie, zmianie, ujawnieniu osobie nieuprawnionej albo uzyskaniu przez nią dostępu do danych. Istotne jest więc nie to, czy firma padła ofiarą włamania, lecz czy bezpieczeństwo danych zostało naruszone.
Zgłoszenie do Prezesa UODO jest wymagane, jeżeli naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych. To ocena konkretnego zdarzenia, a nie automatyczna sankcja za każdą pomyłkę pracownika. Przykładowo, przesłanie jednej faktury do niewłaściwego, zidentyfikowanego odbiorcy będzie wymagało analizy zakresu ujawnionych danych, relacji między stronami, możliwości dalszego wykorzystania dokumentu oraz działań ograniczających skutki.
Inaczej należy ocenić utratę pliku zawierającego dane tysięcy klientów sklepu internetowego: imiona i nazwiska, adresy, numery telefonów, historię zamówień i informacje o płatnościach. Taka kombinacja danych może ułatwiać oszustwa, phishing, podszywanie się pod sklep lub nieuprawniony kontakt z klientami. Ryzyko będzie zwykle wyższe niż przy incydencie obejmującym pojedynczy, nieistotny rekord.
Ryzyko a wysokie ryzyko – dlaczego to rozróżnienie ma znaczenie?
Ocena ryzyka decyduje o zgłoszeniu do UODO. Ocena wysokiego ryzyka może dodatkowo oznaczać obowiązek bezpośredniego zawiadomienia osób, których dane dotyczą. To dwa odrębne obowiązki, których nie wolno utożsamiać.
Wysokie ryzyko może wystąpić między innymi wtedy, gdy ujawniono dane finansowe, dane logowania, dokumentację medyczną, dane dzieci, numery PESEL lub duży zbiór danych pozwalających na łatwe profilowanie osób. Znaczenie ma również to, czy dane były zaszyfrowane, czy istnieje pewność, że osoba nieuprawniona faktycznie je otworzyła, oraz czy administrator zdołał szybko unieważnić dostęp, zmienić hasła albo odzyskać nośnik.
Nie każda utrata urządzenia oznacza więc konieczność zawiadamiania klientów. Laptop zabezpieczony silnym szyfrowaniem dysku i właściwie zarządzanymi dostępami stwarza inne ryzyko niż komputer bez szyfrowania, z zapisanymi plikami klientów i aktywną sesją w systemie sprzedażowym. Zastosowane wcześniej środki techniczne często przesądzają o skali obowiązków po incydencie.
Zgłoszenie naruszenia danych do UODO – termin 72 godzin
Administrator powinien zgłosić naruszenie bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Termin liczy się od momentu, w którym firma uzyskała wystarczający stopień pewności, że incydent rzeczywiście wystąpił – nie od chwili zakończenia pełnego dochodzenia informatycznego.
W praktyce nie warto czekać, aż zespół techniczny odpowie na każde pytanie. RODO przewiduje możliwość przekazywania informacji etapami. Jeżeli w ciągu 72 godzin wiadomo, że doszło do nieuprawnionego dostępu do danych klientów, należy podjąć decyzję na podstawie dostępnych ustaleń, a brakujące elementy uzupełnić później.
Jeżeli termin został przekroczony, zgłoszenie nadal może być konieczne. Trzeba jednak wskazać przyczyny opóźnienia. Lakoniczne wyjaśnienie, że firma „analizowała sprawę”, zwykle nie pokazuje, dlaczego nie można było wcześniej dokonać wstępnej oceny ryzyka. Dlatego od pierwszych godzin po wykryciu incydentu należy zapisywać ustalenia, godziny zgłoszeń wewnętrznych i podjęte decyzje.
Co powinno znaleźć się w zgłoszeniu?
Zawiadomienie składane do UODO nie powinno być ogólnym opisem awarii. Organ oczekuje informacji pozwalających zrozumieć charakter zdarzenia, jego możliwe skutki i reakcję administratora. Zgłoszenie powinno obejmować co najmniej opis naruszenia, kategorie oraz przybliżoną liczbę osób i rekordów danych, dane kontaktowe osoby odpowiedzialnej za wyjaśnienie sprawy, możliwe konsekwencje oraz zastosowane lub planowane środki zaradcze.
W sprawach e-commerce szczególnej precyzji wymaga opis danych. Sama informacja o „danych klientów” jest niewystarczająca. Należy rozdzielić dane kontaktowe, adresowe, informacje o zamówieniach, dane z korespondencji, identyfikatory kont, dane dotyczące płatności czy dane z reklamacji. Każda z tych kategorii może wpływać na ocenę ryzyka w inny sposób.
Opis środków zaradczych powinien pokazywać rzeczywiste działania, a nie deklaracje. Warto wskazać, czy zablokowano konto, wymuszono zmianę haseł, cofnięto dostęp podwykonawcy, odizolowano system, skontaktowano się z odbiorcą omyłkowo wysłanej wiadomości, usunięto plik lub wdrożono dodatkowe monitorowanie.
Pierwsze godziny po incydencie: kolejność działań
Po wykryciu zdarzenia priorytetem jest ograniczenie jego skutków, ale bez niszczenia dowodów. Pracownik nie powinien samodzielnie „sprzątać” problemu, usuwać logów ani prowadzić korespondencji z klientami bez uzgodnionego komunikatu. Firma potrzebuje jednego procesu decyzyjnego, w którym uczestniczą osoby odpowiedzialne za IT, biznes, ochronę danych i – zależnie od sprawy – obsługę klienta.
W praktyce należy przede wszystkim:
- zatrzymać dalsze ujawnianie lub utratę danych, na przykład przez blokadę konta, zmianę haseł albo odcięcie zagrożonego systemu;
- zabezpieczyć dowody, w tym logi, kopie wiadomości, informacje o zakresie uprawnień i chronologię zdarzenia;
- ustalić, jakie dane, osoby i systemy są objęte incydentem oraz kto mógł uzyskać dostęp;
- ocenić ryzyko dla osób fizycznych i podjąć decyzję o zgłoszeniu do UODO oraz ewentualnym zawiadomieniu osób;
- wpisać zdarzenie do wewnętrznego rejestru naruszeń wraz z uzasadnieniem podjętej decyzji.
Ta kolejność nie oznacza, że wszystkie czynności mają być zakończone przed zgłoszeniem. Chodzi o to, aby firma odzyskała kontrolę nad sytuacją i potrafiła wykazać, co wiedziała w danym momencie oraz dlaczego działała w określony sposób.
Rejestr naruszeń: obowiązek także wtedy, gdy nie zgłaszasz sprawy
Administrator ma obowiązek dokumentować wszystkie naruszenia ochrony danych osobowych, również te, które nie zostały zgłoszone do UODO. Rejestr nie jest formalnością przygotowywaną na wypadek kontroli. To podstawowy dowód, że firma konsekwentnie analizuje incydenty i potrafi uzasadnić brak zgłoszenia.
Wpis powinien odnotowywać okoliczności zdarzenia, jego skutki, kategorie danych, ocenę ryzyka, decyzję co do zgłoszenia oraz działania naprawcze. Przydatne jest także wskazanie osób uczestniczących w ocenie i dat kolejnych ustaleń. W organizacji, która przetwarza dane na większą skalę, rejestr powinien być powiązany z procedurą reagowania na incydenty, a nie prowadzony dopiero po fakcie.
Błędy, które zwiększają ryzyko po naruszeniu
Najczęściej problemem nie jest wyłącznie sam incydent, lecz brak przygotowania. Firma nie wie, kto podejmuje decyzję, nie ma aktualnej mapy systemów i podmiotów przetwarzających, a pracownicy zgłaszają zdarzenia z opóźnieniem, bo obawiają się odpowiedzialności. W efekcie 72 godziny mijają na ustalaniu podstawowych informacji.
Ryzykowne jest również automatyczne zgłaszanie każdego zdarzenia „na wszelki wypadek”. Takie podejście nie zastępuje analizy i może ujawnić brak kontroli nad procesem. Z drugiej strony bagatelizowanie incydentu z obawy przed reputacyjnymi skutkami zgłoszenia może prowadzić do znacznie poważniejszego problemu, gdy sprawę zgłosi klient, były pracownik lub podwykonawca.
Właściwe rozwiązanie zależy od faktów: skali, rodzaju danych, zastosowanych zabezpieczeń, możliwości odzyskania kontroli nad danymi i realnych skutków dla osób. Dlatego procedura powinna być gotowa przed incydentem, a nie tworzona pod presją czasu. Dobrze przygotowana firma nie obiecuje, że naruszenie nigdy nie wystąpi. Potrafi za to szybko ograniczyć szkody, podjąć obronną prawnie decyzję i udokumentować ją w sposób, który wytrzyma kontrolę.