Naruszenia ochrony danych osobowych w praktyce

Naruszenie ochrony danych osobowych

RODO definiuje pojęcie naruszenia ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych (art. 4 pkt 12 RODO). W przypadku zaistnienia takiego zdarzenia RODO nakłada na administratora danych szereg obowiązków związanych z oceną skutków naruszenia z punktu widzenia osób, których danych są przetwarzane. W zależności od wyników takiej oceny, będzie on zobowiązany do podjęcia działań określonych w art. 33-34 RODO.

Nie każde naruszenie bezpieczeństwa danych osobowych (tzw. incydent bezpieczeństwa) będzie wiązało się z ryzykiem naruszenia praw i wolności osób, których dane dotyczą. Możliwa jest taka sytuacja, w której wprawdzie dojdzie do przypadkowej utraty danych, ale zdarzenie to nie wywoła negatywnych skutków dla osoby, której dane dotyczą.

Zgodnie z wytycznymi Grupy roboczej (art. 29) incydenty bezpieczeństwa danych osobowych można podzielić na:

• naruszenia poufności – niedozwolone lub przypadkowe ujawnienie lub umożliwienie dostępu do danych osobowych;
• naruszenia integralności – niedozwolona lub przypadkowa modyfikacja danych osobowych;
• naruszenia dostępności – niedozwolona lub przypadkowa utrata dostępu do danych osobowych lub ich zniszczenie.

Warto podkreślić różnicę pomiędzy pojęciami zniszczenia i utraty danych. Zniszczenie danych oznacza, że dane przestają istnieć i ich odzyskanie co do zasady jest niemożliwe, albo bardzo skomplikowane i kosztowne. Utrata danych oznacza, że dane nadal istnieją i funkcjonują w obiegu, ale administrator nie ma kontroli nad tym, w jaki sposób są one wykorzystywane. 

Jakie działania podjąć w przypadku naruszenia bezpieczeństwa danych osobowych?

Jeśli doszło do naruszenia bezpieczeństwa danych osobowych lub zachodzi uzasadnione podejrzenie, że do takiego naruszenia mogło dojść, administrator danych lub podmiot przetwarzający powinien podjąć niezwłocznie działania, mające na celu zarządzanie zaistniałą sytuacją oraz minimalizujące ryzyko wystąpienia negatywnych konsekwencji tych naruszeń. Zarządzanie incydentem bezpieczeństwa danych osobowych powinno obejmować następujące czynności:

• ustalenie okoliczności incydentu, tzn.: przyczyn, w jakich doszło do jego powstania, na czym polegało naruszenie i jaka jest jego skala;
• ocenę ryzyka naruszenia praw i wolności osób, których dane są przetwarzane;
• wypełnienie obowiązku poinformowania o incydencie właściwych podmiotów zgodnie z art. 33-34 RODO;
• podjęcie działań zaradczych zmierzających do usunięcia incydentu oraz ograniczania jego skutków,
• przeanalizowanie przyczyn powstania incydentu,
• uzupełnienie rejestru naruszeń ochrony danych,
• podjęcie działań zapobiegających powstawaniu tego typu incydentów w przyszłości,
• ewentualne wyciagnięcie konsekwencji służbowych wobec osób odpowiedzialnych za naruszenie lub wystąpienie z roszczeniem odszkodowawczym wobec innych podmiotów.

Ocena ryzyka naruszenia praw lub wolności osób, których dane są przetwarzane

W przypadku naruszenia bezpieczeństwa danych osobowych administrator danych dokonuje oceny ryzyka związanego z tym incydentem, w szczególności bada, jakie jest prawdopodobieństwo, że prawa i wolności osób fizycznych mogą zostać naruszone oraz skalę i wagę tego zagrożenia. Prawdopodobieństwo i powagę ryzyka naruszenia praw lub wolności osoby, której dane dotyczą, należy określić poprzez odniesienie się do charakteru, zakresu, kontekstu i celów przetwarzania danych. Ryzyko należy oszacować na podstawie obiektywnej oceny, w ramach której stwierdza się, czy z operacjami przetwarzania danych wiąże się ryzyko lub wysokie ryzyko i jakie negatywne skutki z punktu widzenia podmiotów danych ma lub może mieć dane zdarzenie.

W praktyce ocena ryzyka naruszenia praw i wolności osób fizycznych jest procesem dosyć subiektywnym. Różne podmioty, w zależności od przyjętych założeń i metodologii, mogą ocenić to samo zdarzenie w różny sposób. Ocena ta zawsze jednak powinna mieć, na tyle na ile to możliwe, charakter obiektywny i obejmować wszystkie zagrożenia, które mogą wiązać się z naruszeniem dla osób, których dane były objęte naruszeniem.

Zgłoszenie incydentu bezpieczeństwa danych osobowych do organu nadzoru

W przypadku naruszenia ochrony danych osobowych każdy kto dowiedział się o incydencie lub ma uzasadnione podejrzenia, że do incydentu doszło, obowiązkowo i niezwłocznie powinien poinformować o tym osobę odpowiedzialną za ochronę danych w organizacji. Ważne jest to, aby przekazanie tej informacji nastąpiło jak najszybciej, ponieważ RODO nakłada na administratora danych obowiązek zgłoszenia w określonych przypadkach naruszenia do organu nadzoru.

Przekazanie informacji o incydencie bezpieczeństwa do Prezesa UODO powinno nastąpić niezwłocznie, nie później niż w 72 godziny po stwierdzeniu naruszenia. Przekazanie organowi nadzorczemu zgłoszenia po upływie tego terminu obliguje administratora do złożenia wyjaśnień co do przyczyn tego opóźnienia. Jeśli do incydentu bezpieczeństwa danych osobowych doszło po stronie podmiotu przetwarzającego, jest on zobowiązany niezwłocznie powiadomić administratora danych o stwierdzeniu naruszenia ochrony danych osobowych.

Nie jest jednak tak, że do Prezesa UODO należy zgłaszać każde naruszenie ochrony danych osobowych. Zgłoszeniu takiemu podlegają bowiem tylko takie naruszenia, dla których ocena wykaże wystąpienie ryzyka naruszenia praw lub wolności osób, których dane osobowe dotyczą. Zgłoszenia można dokonać elektronicznie lub pisemnie, a szczegółowe informacje w tym zakresie oraz formularze dostępne są na stronie internetowej urzędu. Zgłoszenie naruszenia ochrony danych osobowych organowi nadzorczemu, musi co najmniej:

• opisywać charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywać kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie;
• zawierać imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji;
• opisywać możliwe konsekwencje naruszenia ochrony danych osobowych;
• opisywać środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

Jeżeli informacji wymaganych w zgłoszeniu do organu nie da się udzielić w tym samym czasie, mogą one być udzielane sukcesywnie, ale czas ich przekazania nie powinien być nadmiernie przedłużany. 

Odstąpienie od wypełnienia obowiązku powiadomienia Prezesa UODO o naruszeniu bezpieczeństwa danych osobowych możliwe jest tylko wtedy, gdy zachodzi niskie prawdopodobieństwo, aby naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO). Niezależnie jednak od tego, czy zgłoszenie do UODO będzie konieczne, administrator jest zobowiązany dokumentować wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze (art. 33 ust. 5 RODO).

NOWOŚĆ na Infor.pl: Prenumerata elektroniczna Dziennika Gazety Prawnej KUP TERAZ!

Polecamy: INFORLEX Biznes

Zawiadamianie osoby, której dane dotyczą o naruszeniu ochrony danych osobowych

RODO nakłada na administratora danych obowiązek niezwłocznego zawiadomienia osoby, której dane osobowe mogą zostać naruszone o incydencie bezpieczeństwa, który może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (art. 34 RODO). Zawiadomienie o incydencie bezpieczeństwa musi odnosić się do konkretnej sytuacji i być zgodne z zasadą przejrzystości, czyli powinno być sformułowane jasnym i prostym językiem. W treści zawiadomienia należy umieścić:

• ogólny opis charakteru naruszenia ochrony danych osobowych,
• możliwe konsekwencje naruszenia,
• opis podjętych działań w celu ograniczenia lub odwrócenia skutków naruszenia,
• dane kontaktowe inspektora ochrony danych (jeśli został powołany) lub innego punktu kontaktowego, od którego można uzyskać więcej informacji,
• wskazówki dotyczące działań jakie osoba, której dane dotyczą może lub powinna podjąć, aby zapobiec negatywnym skutkom naruszenia lub je zminimalizować.

Zawiadomienie o incydencie bezpieczeństwa powinno być skierowane niezwłocznie po jego wystąpieniu. Czas powiadomienia osób, których dane dotyczą jest bardzo ważny, gdyż umożliwia tym osobom podjęcie działań ograniczających negatywne konsekwencje naruszenia.

Zawiadomienie powinno być sporządzone w formie, która pozwoli podmiotowi danych na wielokrotne zapoznanie się z jego treścią. Przekazanie informacji może nastąpić w formie SMS, wiadomości e-mail lub tradycyjnego listu, przy czym ta ostatnia forma powinna być stosowana w ostateczności, gdy nie ma możliwości skorzystania z szybszych kanałów przekazywania informacji. Do przejrzystych metod informowania zaliczane są również widoczne bannery czy powiadomienia na stronach internetowych lub reklamy w mediach drukowanych, które w szybki sposób docierają do szerokiego kręgu osób, przy czym tego typu kanały przekazywania informacji mogą być wykorzystywane dodatkowo i nie mogą zastąpić indywidualnego powiadomienia osób których dane naruszono. W niektórych przypadkach (np. masowego wycieku danych osobowych) zalecane jest, aby administrator nie ograniczał się do jednego kanału informacyjnego tylko skorzystał z różnych metod komunikacji, aby jak najszybciej przekazać informacje o incydencie bezpieczeństwa.

Zgodnie z oficjalnym stanowiskiem Prezesa UODO powiadomienie, które ogranicza się do komunikatu prasowego czy firmowego bloga, nie uznaje się za skuteczne poinformowanie osoby fizycznej o incydencie bezpieczeństwa. Do powiadamiania osób, których dane naruszono administrator powinien stosować komunikaty dedykowane, które nie powinny być przesyłane razem z innymi informacjami np. newsletterem, czy standardową wiadomością cyklicznie przekazywaną klientowi.

Administrator może wstrzymać powiadomienie o naruszeniu do osób których dane dotyczą lub odstąpić od takiego powiadomienia tylko w ściśle określonych przypadkach, w szczególności, jeżeli otrzymał takie zalecenie od organu nadzoru lub organów ścigania. Zawiadomienie osób, których dane naruszono dotyczą nie jest ponadto wymagane, jeśli:

• administrator wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności środki takie jak szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych;
• administrator zastosował po naruszeniu środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą np. niezwłocznie zidentyfikował osobę, która uzyskała dostęp do danych osobowych i podjął działania minimalizujące negatywne skutki naruszenia;
• zawiadomienie wymagałoby niewspółmiernie dużego wysiłku, przy czym w takim przypadku powinien zostać wydany publiczny komunikat lub zastosowany podobny środek, za pomocą którego osoby, których dane dotyczą, zostaną poinformowane w równie skuteczny sposób. Powiadomienie publiczne o incydencie bezpieczeństwa danych osobowych może być stosowane tylko szczególnych przypadkach, gdy administrator nie ma możliwości skorzystania z innych kanałów przekazania informacji osobie, której dane naruszono.

---

Czym jest rejestr naruszeń danych osobowych i w jaki sposób go prowadzić?

Rejestr naruszeń danych osobowych stanowi jeden z elementów szeroko rozumianej dokumentacji przetwarzania danych osobowych. Powinny w nim być odnotowywane wszystkie naruszenia bezpieczeństwa danych osobowych, niezależnie od tego jakie wiążą się z nimi ryzyka dla praw i wolności osób fizycznych. Obowiązek prowadzenia takiego rejestru dotyczy administratora danych oraz podmiotu przetwarzającego dane. Sam rejestr powinien być prowadzony w formie pisemnej lub elektronicznej. Realizacja tego obowiązku powinna znaleźć odzwierciedlenie w regulacjach wewnętrznych firmy jako odrębna procedura lub jako część procedury zarządzania incydentami bezpieczeństwa.

W rejestrze powinny zostać zamieszczone informacje dotyczące przyczyn i przebiegu incydentu bezpieczeństwa, skutków naruszenia (tych które już wystąpiły jak i tych potencjalnych), działań naprawczych jakie zostały podjęte w celu wyeliminowania negatywnych konsekwencji incydentu, proponowanych rozwiązań organizacyjnych i technicznych które zminimalizują ryzyko wystąpienia tego typu zdarzeń w przyszłości. Przykładowy wzór rejestru dostępny jest na stronie internetowej UODO.

Dokumentacja dotycząca incydentu bezpieczeństwa powinna być prowadzona rzetelnie, gdyż w przypadku kontroli organ nadzorczy m.in. na podstawie rejestru naruszeń oraz dokumentacji z przeprowadzonego postępowania wyjaśniającego, będzie weryfikował sposób zarządzania incydentami bezpieczeństwa i przestrzegania przez administratora obowiązków wynikających z RODO. Z uwagi na fakt, że obecnie większość danych osobowych przetwarzana jest w systemach teleinformatycznych ich administratorzy powinni posiadać dodatkowe procedury zarządzania incydentami. W przypadku wystąpienia incydentu informatycznego, każdorazowo powinien on podlegać ocenie w zakresie wpływu na bezpieczeństwo przetwarzania danych osobowych.

Przetwarzając dane osobowe nie mamy więc dowolności w podejmowaniu decyzji co wpisać do rejestru, a co pominąć. Zgodnie z RODO należy tam wpisywać wszystkie naruszenia, niezależnie od oceny poziomu ryzyka naruszenia praw lub wolności osób fizycznych oraz tego, czy naruszenie będzie podlegało zgłoszeniu lub wymagało poinformowania osób, których dane dotyczą. Wybiórcze wpisywanie do rejestru naruszeń bezpieczeństwa danych osobowych będzie traktowane jako niedopełnienie obowiązków wynikających z RODO, ze wszystkimi konsekwencjami tego faktu.

Jednocześnie trzeba mieć na względzie, że treść rejestru naruszeń oraz sposób zarządzania incydentami bezpieczeństwa będą wnikliwie analizowane w trakcie kontroli nadzorczej. Czasami sygnałem do przeprowadzenia takiej kompleksowej kontroli z urzędu mogą być powiadomienia o naruszeniu przekazane przez administratora do UODO, informacje przekazane przez osoby, których dane zostały naruszone lub przez osoby trzecie, a nawet informacje medialne. Wszelkie uchybienia wykryte w trakcie kontroli, w tym uchybienia wynikające ze sposobu zarządzania incydentami bezpieczeństwa mogą prowadzić do wyciągnięcia konsekwencji wobec podmiotu odpowiedzialnego za te naruszenia.

Skutki naruszenia ochrony danych osobowych

Naruszenie ochrony danych osobowych może wywołać zarówno skutki o charakterze materialnym jak i niematerialnym. Do skutków o charakterze materialnym można zaliczyć straty finansowe wywołane roszczeniami odszkodowawczymi ze strony osób, których dane dotyczą, niższym popytem na towary i usługi podmiotu, który nie zagwarantował bezpieczeństwa danych osobowych, czy kary finansowe nałożone przez organ nadzoru. Do skutków niematerialnych zaliczamy m.in. utratę kontroli nad danymi osobowymi i związane z tym naruszenie prywatności osób, których dane są przetwarzane, utratę reputacji przez firmę, w której doszło do incydentu czy utratę poufności danych osobowych chronionych tajemnicą zawodową. Nie jest możliwe stworzenie zamkniętego katalogu skutków wywołanych incydentami, a skutki materialne i niematerialne mogą się przeplatać np. kradzież tożsamości osoby fizycznej, jako skutek niematerialny może przekształcić się w skutek materialny, jeśli skradziona tożsamość zostanie wykorzystana do zaciągnięcia zobowiązań o charakterze finansowym. Poza tym, stworzenie jednego systemu zabezpieczeń przed zagrożeniami w sieci nie jest możliwe ze względu na rozwój nowych technologii i kreatywność osób dopuszczających się naruszeń.

Naruszenie bezpieczeństwa danych osobowych może prowadzić nie tylko do nałożenia kar administracyjnych przez organ nadzoru, lecz także do odpowiedzialności cywilnoprawnej, dochodzonej w postępowaniu sądowym, czy odpowiedzialności karnej (wynikającej z ustawy o ochronie danych osobowych). Niezależnie od tego, czy do naruszenia doszło na skutek uchybień administratora danych lub podmiotu przetwarzającego, czy działań osób trzecich np. ataku hackerskiego, to ostatecznie, administrator danych (zgodnie z obowiązującą zasadą rozliczalności) będzie musiał wytłumaczyć organowi nadzoru i klientom, dlaczego do tego naruszenia doszło i jakie mogą być jego konsekwencje. Stworzenie procedur reagowania na incydenty i rzetelne wykonywanie obowiązków wynikających z RODO w przypadku ich zaistnienia pozwoli jednak na minimalizację ryzyk związanych z przetwarzaniem danych osobowych.

Dorota Echaust-Przybytniak, Deputy Legal Director, RK RODO
Krzysztof Podolski, IT Director, RK RODO