Rosnące znaczenie ochrony danych osobowych sprawia, że każda organizacja przetwarzająca informacje o osobach fizycznych powinna być przygotowana na sytuację, gdy dojdzie do naruszenia danych. Zgłoszenie takiego zdarzenia do UODO (Urzędu Ochrony Danych Osobowych) jest obowiązkiem wynikającym z RODO i krajowych przepisów. Poniżej przedstawiono praktyczny przewodnik, jak prawidłowo przygotować i przekazać zgłoszenie naruszenia, jakie elementy musi ono zawierać oraz jakie konsekwencje grożą za uchybienie temu obowiązkowi.
Obowiązek zgłaszania naruszeń danych osobowych
Zgodnie z art. 33 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, potocznie nazywanego RODO, administrator ma obowiązek niezwłocznie, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, poinformować organ nadzorczy. W Polsce tym organem jest UODO. Termin ten może być przekroczony jedynie wtedy, gdy administrator wykaże, że potrzebował dodatkowego czasu na dokładne ustalenie wszystkich istotnych okoliczności zdarzenia.
Naruszenie danych osobowych oznacza każde zdarzenie prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieuprawnionego ujawnienia lub dostępu do danych. Obowiązek zgłoszenia dotyczy sytuacji, w których zaistniało subiektywne ryzyko naruszenia praw lub wolności osób, których dane dotyczą.
- przypadki kradzieży dysków, pendrive’ów lub dokumentów papierowych,
- ataki hakerskie i ransomware,
- błędy systemowe, błędna konfiguracja serwerów,
- nieuprawniony dostęp pracowników do danych.
Krok po kroku: jak przygotować zgłoszenie do UODO
Proces zgłaszania naruszenia można podzielić na kilka etapów. Poniżej opisano je szczegółowo wraz z odniesieniem do praktycznych aspektów.
1. Wykrycie i wstępna analiza incydentu
- Zidentyfikowanie źródła naruszenia: atak zewnętrzny czy błąd ludzki.
- Określenie zakresu dotkniętych kategorii danych: dane identyfikacyjne, medyczne, finansowe itd.
- Wstępna ocena ryzyka naruszenia praw osób, których dane zostały narażone.
2. Zebranie niezbędnej dokumentacji
- Sporządzenie opisu zdarzenia – kiedy i jak doszło do naruszenia.
- Dokumentacja techniczna: logi systemowe, kopie zapasowe, raporty serwerowe.
- Lista środków zaradczych już wdrożonych w celu ograniczenia skutków incydentu.
3. Wypełnienie formularza zgłoszeniowego
- Dostępny na stronie UODO oficjalny wzór formularza lub możliwość zgłoszenia online.
- Podanie danych administratora oraz ewentualnie inspektora ochrony danych.
- Szczegółowe informacje o naturze naruszenia, kategoriach danych i szacowanej liczbie poszkodowanych osób.
- Opis przewidywanych konsekwencji oraz dotychczasowych i planowanych działań naprawczych.
Elementy zgłoszenia i dokumentacja wewnętrzna
Każde zgłoszenie powinno zawierać ściśle określone elementy, które pozwolą UODO na szybką ocenę sytuacji i ewentualne wydanie zaleceń:
- Data i czas wykrycia naruszenia.
- Opis zdarzenia – jak doszło do incydentu, co było przyczyną.
- Kategorie danych osobowych i orientacyjna liczba osób, których dane zostały ujawnione.
- Ocena prawdopodobnych konsekwencji dla osób, których dane dotyczą.
- Opis środków zaradczych zastosowanych poza organizacją i wewnętrznych działań naprawczych.
- Dane kontaktowe osoby kontaktowej w sprawie naruszenia – e-mail, telefon.
Ze względów dowodowych warto prowadzić wewnętrzny rejestr wszystkich naruszeń, wraz z pełną dokumentacją kroków podejmowanych przez administratora. Taka praktyka ułatwia późniejsze kontrole i może być dowodem w przypadku ewentualnych sporów.
Konsekwencje braku zgłoszenia i sankcje
Uchylenie się od obowiązku zgłoszenia naruszenia może skutkować poważnymi sankcjami administracyjnymi. UODO ma prawo nałożyć na administratora karę pieniężną sięgającą nawet do 10 000 000 EUR lub, w przypadku przedsiębiorstw, do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa.
- Możliwość wystąpienia roszczeń odszkodowawczych ze strony osób poszkodowanych.
- Utrata zaufania klientów i partnerów biznesowych.
- Negatywny odbiór medialny i reputacyjny.
Aby zminimalizować ryzyko finansowych i wizerunkowych strat, każda organizacja powinna nie tylko zgłaszać naruszenia w ustawowym terminie, lecz także prowadzić regularne szkolenia i testy bezpieczeństwa, a także współpracować z inspektorem ochrony danych lub zewnętrznym ekspertem ds. cyberbezpieczeństwa.
