Zgłoszenie naruszenia danych do UODO – procedura krok po kroku

Zgodnie z przepisami RODO, naruszeniem ochrony danych osobowych jest każde zniszczenie, utrata, modyfikacja, nieuprawnione ujawnienie lub uzyskanie nieuprawnionego dostępu do danych. Może do niego dojść zarówno w strukturach administratora, jak i u podmiotu przetwarzającego, któremu powierzono operacje na danych. Przykłady z praktyki obejmują wysłanie bazy rodziców do niewłaściwego adresata (naruszenie poufności), utratę niezabezpieczonego laptopa czy pendrive’a (naruszenie dostępności) lub nieuprawnioną zmianę danych w systemie (naruszenie integralności).

Ocena ryzyka i terminy zgłoszeń

Każdy incydent wymusza przeprowadzenie niezwłocznej oceny ryzyka naruszenia praw lub wolności osób fizycznych. Należy wziąć pod uwagę kategorie zaangażowanych danych (szczególnej uwadze podlegają dane wrażliwe, np. o stanie zdrowia czy alergiach), wolumen osób dotkniętych zdarzeniem, zastosowane zabezpieczenia techniczne (np. silne szyfrowanie nośnika) oraz potencjalne konsekwencje dla poszkodowanych, takie jak kradzież tożsamości, straty finansowe czy dyskryminacja.

• Jeżeli z analizy wynika, że naruszenie praw i wolności jest mało prawdopodobne, administrator odstępuje od powiadomienia Prezesa Urzędu Ochrony Danych Osobowych (PUODO), ograniczając się do odnotowania zdarzenia w wewnętrznym rejestrze naruszeń.

• Jeżeli jednak ryzyko to jest prawdopodobne lub wysokie, powstaje bezwzględny obowiązek zgłoszenia naruszenia do PUODO w nieprzekraczalnym terminie 72 godzin od momentu jego stwierdzenia.

Obowiązek zgłoszeniowy zawsze ciąży na Administratorze (czyli szkole). Jeżeli naruszenie ma miejsce u podmiotu przetwarzającego (np. w zewnętrznym biurze księgowym), ma on obowiązek niezwłocznie poinformować Administratora, który następnie dokonuje zgłoszenia do organu.

Treść zgłoszenia i informowanie poszkodowanych

Dokonując zgłoszenia, należy opisać okoliczności zdarzenia (czas, miejsce, sposób wykrycia), wskazać kategorie oraz przybliżoną liczbę poszkodowanych osób, zidentyfikować ewentualnych nieuprawnionych odbiorców, opisać potencjalne skutki oraz szczegółowo wymienić zastosowane i planowane środki zaradcze. Konieczne jest także podanie danych kontaktowych osoby odpowiedzialnej za koordynację działań.

W sytuacji, w której naruszenie powoduje wysokie ryzyko, administrator musi dodatkowo zawiadomić same osoby, których dane dotyczą. Komunikat taki powinien być sformułowany prostym językiem, wyjaśniać co się stało, jakich danych dotyczy problem, wskazywać realne działania ochronne (np. zmiana hasła, zastrzeżenie numeru PESEL) oraz podawać dedykowane kanały kontaktu. Działanie to ma na celu zminimalizowanie potencjalnej szkody majątkowej lub niemajątkowej podmiotów danych, co stanowi okoliczność łagodzącą podczas ewentualnej kontroli organu nadzorczego.

Procedury wewnętrzne

Organizacja zabezpieczona operacyjnie dysponuje gotową procedurą zarządzania incydentami. Obejmuje ona przyjmowanie wewnętrznych zgłoszeń, standaryzowaną ocenę ryzyka (macierz ryzyk), mechanizmy natychmiastowego blokowania dostępu i zmiany poświadczeń oraz prowadzenie rejestru naruszeń.

Przykładowy szablon bezpiecznego komunikatu kryzysowego do klienta:

Dnia [data] stwierdziliśmy nieuprawniony dostęp do [zakres danych]. Zalecamy: [działania, np. zastrzeż PESEL na gov.pl]. Wdrożyliśmy: [środki]. Kontakt: [e-mail/telefon]. Przepraszamy za niedogodności.