REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

RODO: informowanie o wycieku i innych naruszeniach ochrony danych osobowych

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Sylwia Czub-Kiełczewska
Specjalista ds. ochrony danych osobowych i informacji niejawnych
RODO for. shutterstock
RODO for. shutterstock

REKLAMA

REKLAMA

Przed RODO przepisy nie regulowały zasad powiadamiania osób, których dane dotyczą o wycieku (lub innym groźnym zdarzeniu) jej danych. Obecnie jeżeli zostanie naruszona ochrona danych, w wyniku której istnieje duże ryzyko dla praw i wolności osób, których dane dotyczą, to administrator ma obowiązek dokonać zawiadomienia tych osób (art. 34 RODO).

Zawiadomienie osób, których dane dotyczą o naruszeniu ochrony ich danych

Informowanie osób, że z ich danymi stało się „coś złego” (to może być nie tylko kradzież, ale także nieuprawniona modyfikacja, nieuprawniony dostęp, niewłaściwe zniszczenie, utrata dostępu do danych), jest jednym z nowych i bardzo, bardzo ważnych obowiązków, wynikających z RODO. Nie oszukujmy się, administrator danych najchętniej ukryłby każde zdarzenie, które mogłoby postawić go w złym świetle. Dotychczas administratorzy nie mieli obowiązku poinformowania osób, których dane dotyczą, nawet gdy mieli 100% pewność, że ktoś może wykorzystać dane do kradzieży tożsamości. Mogli to zrobić, ale nie musieli, co oznacza, że zazwyczaj tego nie robili.

REKLAMA

REKLAMA

Polecamy: Serwis Inforlex RODO 3 m-ce + książka RODO dla kadrowych i HR

Warto zwrócić uwagę, że zawiadomienie organu nadzoru o wycieku danych, nie jest niczym nowym. Podobne obowiązki już dawno były wpisane w przepisy o ochronie informacji niejawnych oraz prawo telekomunikacyjne. Jednakże przed RODO przepisy nie regulowały zasad powiadamiania osób, których dane dotyczą o wycieku (lub innym groźnym zdarzeniu) jej danych. Znanych jest kilka historii (polecam poszperać na stronach serwisu Niebezpiecznik.pl) o tym, jak administrator danych “zawiadamiał” w sposób, który nie wnosił żadnej wiedzy, a jedynie zamieszanie i zdenerwowanie. Co nam po informacji, że ktoś ukradł nam dane, a administratorowi jest przykro z tego powodu?

RODO wprowadza nowe zasady. Jeżeli zostanie naruszona ochrona danych w wyniku, której istnieje duże ryzyko dla praw i wolności, osób które dane dotyczą, wówczas administrator ma obowiązek dokonać zawiadomienia tych osób (art. 34 RODO). Jak wspomniałam wcześniej, naruszenie nie dotyczy tylko kradzieży. Naruszeniem będzie zdarzenie, które doprowadzi do utraty, którejkolwiek z fundamentalnych cech danych osobowych, jak integralność, rozliczalność i poufność. Jeżeli za takim zdarzeniem, będzie szło ryzyko dla praw i wolności osoby, której dane dotyczą (np. szantaż tej osoby, kradzież jej danych, niemożliwość skorzystania przez nią z praw przysługujących jej na mocy przepisów prawa, itd), wówczas niezbędne jest zawiadomienie jej, o zaistniałym zdarzeniu.

REKLAMA

Ważne: zawiadomienia należy dokonać jak najszybciej. Przede wszystkim dlatego, że tylko szybka reakcja może pozwolić tej osobie zapobiec możliwym skutkom tego zdarzenia, np. zastrzec dane w BIK, wymienić dowód osobisty.

Dalszy ciąg materiału pod wideo

W związku z powyższym administrator powinien wybrać odpowiedni środek komunikacji, który umożliwia jak najszybsze i najskuteczniejsze dotarcie do odbiorców. Jeżeli posiada adresy e-mail powinien wysłać wiadomości elektroniczne (uwaga: należy je wysłać tak, żeby nie dokonać dodatkowego naruszenia, ujawniając odbiorcom nawzajem ich adresy – nie powinni ich widzieć). Można także wysłać smsy, chociaż tutaj ograniczeniem jest długość wiadomości. Bardzo eleganckim i profesjonalnym rozwiązaniem jest zadzwonienie do wszystkich, jednakże wymaga to ogromnego nakładu czasu i pracy. Przy dużej liczbie osób, które należy powiadomić, polecam wysłać do wszystkich wiadomości e-mail oraz wskazać numery telefonu i stronę internetową, na której będzie więcej informacji. Zawiadomienie na stronie internetowej lub w prasie powinno być traktowane jako działanie wspierające, które nie zastępuje bezpośrednich narzędzi zawiadomienia (o ile posiada się bezpośrednie kontakty).

Treść zawiadomienia

Informacja o naruszeniu powinna być napisana prosto i zrozumiale. Jej obowiązkowe elementy to:

  • dane punktu kontaktowego, od którego można uzyskać więcej informacji, w szczególności IOD, jeżeli został wyznaczony;
  • opis możliwych konsekwencji naruszenia dla osoby naruszenia ochrony danych osobowych;
  • opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

Osoba, której dane dotyczą zazwyczaj nie ma pojęcia co powinna zrobić, gdy dojdzie do naruszenia. Najistotniejsze dla niej jest wskazanie odpowiedniej procedury działania. Interesują ją informacje o tym, co administrator zrobił, aby takie zdarzenie nie miało miejsca w przyszłości i aby ograniczyć skutki działania. Dobrze zrobione zawiadomienie, to klucz do sukcesu.

Propozycja treści zawiadomienia osób, których danych dotyczą o naruszeniu ochrony ich danych.

Warto podkreślić, że są sytuacje, w których administrator jest zwolniony z obowiązku dokonywania zgłoszenia (art. 34 RODO):

  1. Jeżeli przed naruszeniem, wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności środki takie jak szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych;
  2. Jeżeli po naruszeniu zastosował środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą
  3. Jeżeli zawiadomienie wymagałoby niewspółmiernie dużego wysiłku. W takim przypadku wydany zostaje publiczny komunikat lub zastosowany zostaje podobny środek, za pomocą którego osoby, których dane dotyczą, zostają poinformowane w równie skuteczny sposób.

Zwracam uwagę, że wystarczy, aby został spełniony którykolwiek z powyższych warunków, aby dokonanie zawiadomienia nie było konieczne. Pierwszy warunek pokazuje, jak ważne jest domyślne szyfrowanie danych (dysków komputerów, przesyłanych danych, załączników, plików, nośników danych). Nawet jeżeli koszt szyfrowania jest wysoki, może okazać się inwestycją, która zwróci się przy pierwszym naruszeniu i ochroni administratora przed nieprzyjemnymi konsekwencjami zdarzenia (wtedy naprawdę doceni, to że zostało ono wdrożone).

Drugi przypadek dotyczy środków zaradczych, które administrator podjął po wykryciu naruszenia. Na przykład z jego bazy wykradziono hasła użytkowników, ale zdążył on zresetować te hasła zanim ktokolwiek zalogował się na konta, do których hasła wykradziono.

Ostatni przypadek nie powinien być nadużywany, tzn. to rzeczywiście musi być sytuacja, w której administrator nie będzie w stanie powiadomić tych osób lub koszt powiadomienia przekracza jego możliwości. Administrator musi być w stanie rozsądnie uzasadnić spełnienie tej przesłanki.

Na koniec przestroga. Nie warto unikać odpowiedzialności i zamieść temat pod dywan. Jeżeli zdarzenie zostanie upublicznione i o naruszeniu dowie się Urząd Ochrony Danych, to w sytuacji, gdy nie wypełniliśmy swojego obowiązku wobec osób, których dane dotyczą, a tym samym naraziliśmy ich na ryzyko wykorzystania ich danych, kontrolujący może poczuć się w obowiązku wymierzyć surową i odstraszającą dla innych karę finansową.

Polecamy serwis: Prawa konsumenta

Zapisz się na newsletter
Najlepsze artykuły, najpoczytniejsze tematy, zmiany w prawie i porady. Skoncentrowana dawka wiadomości z różnych kategorii: prawo, księgowość, kadry, biznes, nieruchomości, pieniądze, edukacja. Zapisz się na nasz newsletter i bądź zawsze na czasie.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Prawo
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Nowe zasady na cmentarzach, a za naruszenie grożą kary do nawet 5000 zł. Uwaga na te pułapki we Wszystkich Świętych, łatwo się pomylić

Zbliża się 1 listopada – Dzień Wszystkich Świętych oraz 2 listopada – zaduszki. To czas pamięci o tych, którzy odeszli, szczególnie osobach bliskich. W tym czasie masowo ruszymy odwiedzać groby, a niektórzy już teraz je porządkują przed 1 listopada. Jednak czas ten nie zwalnia nas od przestrzegania przepisów. Także na cmentarzach obowiązują zasady segregacji, a w tym roku w niektórych miejscach czeka na nas nowość - jaka?

Przedłużenie okresu przedawnienia w podatku od spadków ukryte w nowelizacji. Fikcyjna deregulacja niekorzystna dla spadkobierców

Najnowszy rządowy projekt nowelizacji ustawy o podatku od spadków i darowizn nałoży na podatników (spadkobierców) obowiązek złożenia zeznania podatkowego po uzyskaniu postanowienia sądu o stwierdzeniu nabycia spadku lub notarialnego aktu poświadczenia dziedziczenia (APD). Jeżeli ta nowelizacja wejdzie w życie, to faktycznie termin przedawnienia wyniesie 5 lat, licząc od końca roku, w którym powstał obowiązek podatkowy, a nie 3 lata, jak obecnie, co wynika z art. 68 § 2 Ordynacji podatkowej. Nie realizuje się w tym wypadku deklarowanego celu w postaci „uproszczenia procedur oraz ochrony spadkobierców przed utratą zwolnień podatkowych.”, lecz w istocie przedkłada się projekt ustawy niekorzystnej dla podatników – pisze adwokat Konrad Giedrojć.

103 średnie pensje na mieszkanie w Warszawie (50 m2). A w innych miastach? Ceny mieszkań w III kwartale 2025 r. [raport]

W III kwartale 2025 r. w większości z 17 największych polskich miast ceny mieszkań spadły w porównaniu z poprzednim kwartałem. W segmencie mieszkań średniej wielkości (35–60 m²) największy spadek odnotowano w Gdyni – o prawie 5%. Po obniżkach przeciętna ofertowa cena mieszkania o powierzchni 50 m² w tym mieście wynosi 585 tys. zł. Dla porównania, w najtańszej Częstochowie to 350 tys. zł, a w najdroższej z zestawienia Warszawie – prawie 837 tys. zł. W stolicy w ostatnim kwartale ceny mieszkań wzrosły o 2%. Warszawa należy też do najdroższych stolic Europy pod względem dostępności mieszkań. Aby kupić mieszkanie o powierzchni 50 m² poza centrum, potrzeba 103 średnich pensji. Tak wynika z najnowszego raportu Rankomat.pl i Rentier.io.

Opiekunowie osób niepełnosprawnych w szoku – zmiany od 2026 r. mogą uderzyć w tysiące rodzin

Od 2026 r. opiekunowie osób z niepełnosprawnościami mogą stanąć przed rewolucją w systemie wsparcia. Ustawa o asystencji osobistej wprowadza nowe zasady, ogranicza budżet osobisty i skraca okresy decyzji. Równocześnie rząd zapowiada zmiany w świadczeniu pielęgnacyjnym i nową emeryturę opiekuńczą. Czy rodziny są gotowe na te zmiany?

REKLAMA

Większość Polaków nie ma testamentu. Co to oznacza dla ich rodzin? W takiej sytuacji majątek jest dziedziczony ustawowo, zgodnie z hierarchią opisaną w Kodeksie cywilnym

Badania pokazują, że większość osób w Polsce nie spisało testamentu. W praktyce oznacza to, że majątek po śmierci dziedziczony jest ustawowo – nie zawsze zgodnie z wolą zmarłego. Sprawdź, jak prosto uregulować sprawy spadkowe i ochronić najbliższych.

Tym seniorom ZUS wypłaci emeryturę lub rentę wcześniej w październiku i listopadzie 2025 r.

Emeryci i renciści otrzymują swoje świadczenia z ZUS-u w ustalonych terminach płatności. W październiku i listopadzie 2025 r. niektórzy z nich mogą jednak spodziewać się przelewu bankowego lub wizyty listonosza nieco wcześniej niż zwykle.

Oszczędności warunkiem poczucia bezpieczeństwa Polaków: jak Polacy oceniają swoją sytuację finansową i w jaki sposób oszczędzają? [RAPORT]

Jak wynika z badania SW Research na zlecenie Job Impulse, rośnie odsetek osób, które nie potrzebują dodatkowych funduszy, aby czuć stabilność finansową (17% w 2025 r. i 13% w 2023 r.). Jednocześnie ponad połowa badanych (55%) wskazuje, że dla osiągnięcia poczucia bezpieczeństwa finansowego ich gospodarstwa domowe wymagają co najmniej tysiąca złotych miesięcznie więcej. Najnowsze badanie pokazuje, jak Polacy oceniają swoją sytuację finansową i w jaki sposób oszczędzają.

Dłużnik nie ukryje się za hipoteką. Sąd Najwyższy zmienia reguły gry

Koniec z unikaniem spłaty długów pod pozorem obciążonych nieruchomości. Sąd Najwyższy definitywnie uciął wieloletni spór: dłużnik nie obroni się już przed skargą pauliańską tłumacząc, że jego majątek był bezwartościowy. Ta uchwała zmienia zasady gry w polskim prawie zobowiązań.

REKLAMA

To koniec brązowych worków na odpady - kolejne miasta z nich rezygnują

Przez lata panowania zasad segregacji śmieci można było się przyzwyczaić do tego, że odpady biodegradowalne (np. liście, skoszona trawa, obierki, resztki warzyw i owoców etc.) wyrzucamy do brązowych worków na odpady. Takie zasady panowały i jeszcze panują w zdecydowanej większości gmin w Polsce – jednak pojawiają się kolejne miasta, które z tego rezygnują.

Nowa instytucja koronera w Polsce. Dlaczego jest potrzebna i na jakim etapie są prace legislacyjne?

Czy w Polsce jest instytucja koronera? Formalno-prawnie nie ma i co więcej okazuje się, że problem braku urzędnika medyczno-prawnego, który mógłby stwierdzać zgon i nadzorować czynności z tym związane - narasta od lat i dotyka rodzin, służb ratunkowych oraz systemu statystyki przyczyn zgonów. Czy czas to zmienić? Wydaje się, że tak, tym bardziej, że Rzecznik Praw Obywatelskich konsekwentnie wskazuje na luki w obowiązującym prawie i wielokrotnie apelował o systemowe rozwiązanie tej materii. Dobra wiadomość jest taka, że Ministerstwo Zdrowia pracuje nad projektem a planowany termin wejścia w życie 1 lutego 2027 r.

REKLAMA