Ups… mamy naruszenie ochrony danych osobowych

Przygotowałem dla Ciebie kompendium wiedzy o radzeniu sobie z naruszeniami ochrony danych osobowych (dalej: naruszenie RODO). Komplet informacji przedstawiam w trzech częściach.

Z pierwszej części dowiesz się czym jest naruszenie RODO i jak mu zapobiegać. Opowiem Ci również o tym, jak powinna wyglądać skuteczna procedura raportowania o naruszeniach.

Druga część jest poświęcona zgłaszaniu naruszeń organowi nadzorczemu. Dowiesz się z niej, które naruszenia powinieneś zgłaszać, a które nie. Opowiem Ci również o sposobie liczenia terminu 72h na zgłoszenie naruszenia. Dowiesz się także jak dokonać zgłoszenia naruszenia do UODO.

Trzecia i ostatnia część, jest poświęcona informowaniu osób, których dotyczy naruszenie. Kiedy i w jaki sposób, powinniśmy poinformować poszkodowanych naruszeniami.

Naruszenie ochrony danych osobowych – co nim jest?

Zacznę od terminu naruszenia ochrony danych osobowych. Prawnicza definicja (legalna), została przedstawiona w art. 4 pkt. 12 RODO:

Definicja jest bardzo, bardzo szeroka. Nie pozostawia zbyt dużo miejsca na wątpliwości czy interpretacje.

Dla porządku, przedstawiam jeszcze dwa oficjalne stanowiska i wytyczne w zakresie naruszeń: Urzędu Ochrony Danych Osobowych oraz Europejskiej Rady Ochrony Danych.

UODO

Urząd Ochrony Danych Osobowych:

• naruszenie musi dotyczyć danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych przez podmiot, którego dotyczy naruszenie,
• skutkiem naruszenia może być zniszczenie, utracenie, zmodyfikowanie, nieuprawnione ujawnienie lub nieuprawniony dostęp do danych osobowych,
• naruszenie jest skutkiem złamania zasad bezpieczeństwa danych.

Więcej wytycznych polskiego organu nadzorczego znajdziesz w publikacji ”Obowiązki administratorów związane z naruszeniami ochrony danych”.

EROD

Europejska Rada Ochrony Danych, zwraca z kolei uwagę na to, że naruszenia możemy podzielić na trzy kategorie:

• naruszenie dotyczące poufności danych – dochodzi do nieuprawnionego lub przypadkowego ujawnienia lub nieuprawnionego dostępu do danych osobowych

przykłady: wydanie dokumentacji medycznej pacjenta innej nieuprawnionej osobie, wysłanie wiadomości mailowej zawierającej dane osobowe do innego odbiorcy niż była ona przeznaczona,

• naruszenie dotyczące integralności danych – dochodzi do nieuprawnionego lub przypadkowego zmodyfikowania danych osobowych

przykłady: zmiana przez pracownika nazwiska wszystkich klientów poprzez dodanie do każdego na końcu litery „s”

• naruszenie dotyczące dostępności danych – dochodzi do przypadkowego lub nieuprawnionego dostępu do danych osobowych lub zniszczenia danych osobowych

przykłady: atak hakerski, w wyniku którego Administrator danych osobowych traci dostęp do danych w systemie informatycznym, zgubienie laptopa/telefonu służbowego, na którym znajdują się dane klientów Administratora danych osobowych, przypadkowe lub zamierzone usunięcie danych osobowych klientów przez pracownika

Uproszczę powyższe do absolutnego minimum. Jeśli coś złego wydarzy się z przetwarzanymi przez nas danymi osobowymi, to najprawdopodobniej możemy uznać, że nastąpiło naruszenie RODO.

Zobacz analizę wniosków i statystyk z raportu o naruszeniach RODO

… albo posłuchaj w formie podcastu

Co jest naruszeniem – opinie ekspertów

Poniżej znajdziesz kilka praktycznych przykładów naruszeń, z którymi na co dzień mierzą się nasi eksperci.

Naruszenie ochrony danych osobowych – co nim nie jest?

Ponieważ definicja naruszenia RODO jest bardzo szeroka, znajdźmy sytuacje, których nie uznamy za naruszenia RODO.

Dane osobowe to nie jedyne informacje przetwarzane przez organizacje. Większość przedsiębiorców tworzy np. strategie sprzedażowe lub pracuje nad kampaniami wizerunkowymi.

Powyższe dane mogą być równie cenne i wartościowe co dane osobowe. Jednak z perspektywy RODO, zagubienie takich danych, nie będzie miało znaczenia.

Informacje o szczególnym znaczeniu dla organizacji, stanowią tzw. tajemnicę przedsiębiorstwa.

Co nie jest naruszeniem – opinie ekspertów

Kto będzie moim źródłem informacji o naruszeniu?

Jeśli jesteś Inspektorem Ochrony Danych lub osobą odpowiedzialną za obszar RODO, to niestety, większości naruszeń nie wykryjesz samodzielnie.

Dowiesz się o nich od innych pracowników organizacji lub bezpośrednio od osób pokrzywdzonych. Nam zdarzyły się też sytuacje, kiedy np. hakerzy sami donosili o nienależytym zabezpieczeniu serwisu internetowego.

Nie możesz jednak liczyć tylko na dobrą wolę Twoich współpracowników. Żeby przepływ informacji działał w praktyce, potrzebne są dwa elementy:

• dobrze napisana procedura dotycząca raportowania incydentów,
• skuteczne zakomunikowanie procedury wszystkim pracownikom organizacji.

Procedura raportowania naruszeń w mojej organizacji

Zaczniemy od samej procedury. Na potrzebę jej wdrożenia, wskazuje motyw 87 Preambuły RODO:

„Należy się upewnić, czy wdrożono wszelkie odpowiednie techniczne środki ochrony i wszelkie odpowiednie środki organizacyjne, by od razu stwierdzić naruszenie ochrony danych osobowych i szybko poinformować organ nadzorczy i osobę, której dane dotyczą.”

Rekomenduję, aby procedura raportowania o incydentach, była częścią Polityki ochrony danych osobowych w Twojej organizacji. Więcej o samej Polityce dowiesz się tutaj.

Elementy procedury naruszeń ochrony danych osobowych

1. Informacje na temat tego jak pracownik, który wykrył naruszenie powinien się zachować

W pierwszej kolejności pracownik powinien wiedzieć kogo i jak szybko poinformować. Najlepiej określić, że kontakt powinien nastąpić niezwłocznie. Na przykład maksymalnie w przeciągu godziny od wystąpienia niepożądanego zdarzenia.

Poinformowane powinny zostać osoby zajmujące się ochroną danych osobowych w organizacji np. IOD, pracownik ds. ochrony danych osobowych, ale również, jeśli zdarzenie związane jest z kwestiami IT, Administrator Systemów Informatycznych, czy tez po prostu informatyk.

Warto określić w procedurze sposób komunikacji naruszenia, np. bezpośrednio wskazanym wyżej osobom lub pośrednio przez przełożonych. Dobrym pomysłem jest też wskazanie konkretnego kanału komunikacji, np. adresu email służącego do zgłaszania incydentów.

2. Zakres informacji jakie powinien przekazać pracownik informując o naruszeniu

Pracownicy powinni dostać jasne wytyczne, jakie informacje o naruszeniu, powinni przekazać osobom odpowiedzialnym. Jest to niezwykle ważne z perspektywy właściwego rozpoczęcia postępowania sprawdzającego. Dzięki wyczerpującemu raportowi, już na etapie przyjęcia zgłoszenia można stwierdzić z jakiego typu naruszeniem mamy do czynienia.

Powiadomienie o naruszeniu powinno zawierać przede wszystkim:

• czas i miejsce naruszenia,
• kategorie danych oraz przybliżoną liczbę osób, których dotyczy naruszenie,
• opis naruszenia,
• możliwe konsekwencje naruszenia,
• informacje o ewentualnym podjęciu środków zaradczych.

Warto określić również, jak pracownik powinien zachować się do czasu, aż na miejsce naruszenia przybędą osoby odpowiedzialne (zabezpieczenie dostępu do miejsca, wstrzymanie pracy na sprzęcie, etc.).

Opisane powyżej kroki 1 i 2, dotyczą szeregowych pracowników, którzy przetwarzają dane osobowe. Procedura powinna zawierać również informacje o tym, co dzieje się dalej.

3. Kto jest odpowiedzialny za koordynowanie postępowania w zakresie naruszenia

W praktyce często będzie to Inspektor Ochrony Danych lub inna osoba odpowiedzialna za RODO w organizacji. Może to być również ktoś, kto koordynuje przetwarzanie danych osobowych w ramach infrastruktury IT (np. ASI). Procedura powinna określać także formy współpracy z tymi osobami i zobowiązywać innych pracowników do udzielania im wszelkich niezbędnych wyjaśnień w zakresie stwierdzonego naruszenia.

4. W jaki sposób i na jakiej podstawie następuje ocena ryzyka naruszenia

Wdrażana przez Ciebie procedura powinna zawierać również wskazówki co do sposobu analizy, czy incydent może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą.

Właściwe określenie tego ryzyka da Ci odpowiedź na pytanie, czy naruszenie kwalifikuje się do zgłoszenia Prezesowi UODO, a także czy istnieje konieczność zawiadamiania o naruszeniu osób, których danych ono dotyczy.

5. W jaki sposób dokumentuje się naruszenia

Wystąpienie każdego naruszenia powinno być w odpowiedni sposób udokumentowane. Z każdego postępowania sprawdzającego Inspektor Ochrony Danych (lub inna osoba odpowiedzialna) powinien sporządzić protokół.

Niezależnie od tego czy naruszenie zostanie zgłoszone do organu, fakt jego zaistnienia powinien zostać odnotowany również w rejestrze naruszeń.

6. Dodatkowe, indywidualne elementy

W niektórych sytuacjach w procedurę włączymy dodatkowe osoby lub instytucje. U niektórych klientów musieliśmy włączyć w procedurę ubezpieczyciela. Ubezpieczyciel chciał być poinformowany o każdym naruszeniu. Brak informacji mógł skutkować odmową wypłaty odszkodowania.

W dużych grupach kapitałowych zdarza się często, że o naruszeniu musimy poinformować globalnego Inspektora Ochrony Danych.

Postępowanie z naruszeniami ochrony danych osobowych – praktyczny pakiet procedur, szablonów i instrukcji

Przygotowaliśmy dla Ciebie kompleksowy pakiet wytycznych w zakresie zarządzania naruszeniami ochrony danych osobowych w organizacji.
Nasze dokumenty zostały opracowane w taki sposób, aby ich dostosowanie do działalności Twojej organizacji było jak najbardziej intuicyjne i proste.

Sprawdź

Zakomunikuj procedurę zespołowi

Samo wdrożenie procedury nie zagwarantuje nam skutecznego przepływu informacji. Pierwszym krokiem ku skutecznemu zakomunikowaniu procedury jest szkolenie. Blok poświęcony naruszeniom, może być częścią większego szkolenia z zakresu RODO. Zgłaszanie naruszeń będzie jednym z kluczowych elementów szkolenia oraz ogólnie pojętej RODO świadomości. Więcej na temat RODO szkoleń i budowania świadomości, dowiesz się tutaj.

Podstawowe informacje i ścieżka postępowania podczas incydentu powinny być łatwo dostępne dla pracowników. Dzięki temu w awaryjnej sytuacji, będą mogli wrócić do zaprezentowanej w trakcie szkolenia wiedzy.

Dlatego warto zamieścić materiały informacyjne np. w intranecie, na dysku wspólnym lub wysłać w postaci materiałów informacyjnych na skrzynki mailowe pracowników.

Zdecydowanie warto omawiać zaistniałe incydenty. Zwłaszcza te o powtarzalnym charakterze. Możesz im poświęcić odrębne szkolenie w formie case-study. Możesz również informować zespół o takich sytuacjach na łamach gazetki zakładowej, w formie Newslettera czy innej komunikacji, przyjętej w Twojej organizacji.

Zbuduj bezpieczną przestrzeń komunikacji

Jest jeszcze jeden ważny element komunikowania naruszeń. Pracownik zgłaszający naruszenie, musi czuć się bezpiecznie. Jeśli kwestie zgłaszania naruszeń przedstawisz w sposób bardzo restrykcyjny, koncentrując się na straszeniu i karach dla winnych, to o wielu naruszeniach możesz się nigdy nie dowiedzieć. Albo co gorsza, dowiesz o nich dopiero od poszkodowanych klientów.

Promuj więc zgłaszanie, a nie karanie winnych naruszeniom. Oczywiście świadome naruszenia zasad bezpieczeństwa powinny być karane. Statystyki pokazują jednak, że większość naruszeń, to nieświadome ludzkie błędy.

Znajdź sobie sojuszników

Naruszenie zawsze jest sytuacją stresującą. Nie działaj sam! Zbuduj wokół siebie sztab kryzysowy, który pomoże Ci zminimalizować skutki naruszenia. W wielu sytuacjach, osoby dotknięte naruszeniem mogą próbować wyolbrzymiać swoje krzywdy, domagając się nieadekwatnie wysokich odszkodowań. Może nastąpić również sytuacja odwrotna. Naruszenie z Twojej perspektywy wyda Ci się niewielkie, tymczasem dla poszkodowanej osoby będzie ono obiektywnie bardzo poważne.

Pamiętaj o tym, że w sytuacji kryzysowej, nie działasz do końca racjonalnie. Niektórzy wyolbrzymiają kryzys, stresując się nadmiarowo. Inni nie dostrzegają zagrożeń, wierząc, że na pewno wszystko będzie dobrze.

Jeśli chcesz poznać obiektywne spojrzenie eksperta z zewnątrz, zapraszam na konsultacje kryzysowe. Gwarantuję, że poczujesz dużą ulgę. Usłyszysz, jakie spojrzenie na naruszenie ma osoba z zewnątrz. Dowiesz się również co można zrobić, aby zminimalizować negatywne skutki naruszenia.

Przy naruszeniach o dużej skali, może przydać Ci się pomoc osób z doświadczeniem w zakresie PRu. Zwłaszcza jeśli chodzi o informowanie poszkodowanych o zaistniałym naruszeniu. Jeśli poinformujesz poszkodowanych w sposób nieporadny, możesz sprowokować klientów do ataku. I odwrotnie, jeśli o sytuacji kryzysowej poinformujesz poszkodowanych w odpowiedni sposób, klienci to docenią. W efekcie może się okazać, że mimo sytuacji kryzysowej, Twoja organizacja wyjdzie z niej silniejsza, obdarzona większym zaufaniem.

Najczęstsze przyczyny naruszeń ochrony danych osobowych

Jeśli chodzi o przyczyny naruszeń, to poruszaliśmy już ten temat na naszym blogu.

Odsyłam także do raportu Związku Firm Ochrony Danych Osobowych. Raport w wyczerpujący sposób odnosi się do źródeł RODO naruszeń.

Nie wchodząc w szczegóły, o których już pisaliśmy, najczęstszą przyczyną naruszeń są niezawinione błędy ludzkie. Stąd tak istotne jest odpowiednie zakomunikowanie procedury oraz szkolenie z zakresu bezpiecznego przetwarzania danych osobowych.

Wsparcie przy RODO naruszeniu

Jeśli właśnie mierzysz się z trudną sytuacją, jaką jest RODO naruszenie, pomożemy Ci. Być może wyzwanie z którym się mierzysz, wcale nie jest tak poważne, jak Ci się wydaje. Albo odwrotnie, sytuacja, która wydaje się być błaha, wymaga szybkich i zdecydowanych działań z Twojej strony. Daj sobie pomóc. Nasz ekspert pozwoli Ci urealnić sytuację w której się znajdujesz.

W toku naszej pracy wspieraliśmy organizacje przy ponad 50 naruszeniach RODO.

Koszt konsultacji: 369 zł brutto (w tym 23% VAT) / h.

Wypełnij poniższy formularz i zgłoś potrzebę konsultacji przy naruszeniu (dyżurujemy również w weekendy, odpowiemy w ciągu maksymalnie 2 godzin).

Formularz

Podsumowanie

Wiesz już czym jest naruszenie i jak zbudować odpowiednie procedury aby je wykryć. Z kolejnego artykułu dowiesz się w jaki sposób postępować dalej. Czy zaistniałe naruszenie podlega obowiązkowi zgłoszenia do Urzędu Ochrony Danych Osobowych.

Nie daj się przytłoczyć sytuacją. Działaj, szukaj wsparcia, szukaj rozwiązań.