Każdy podmiot przetwarzający dane osobowe — niezależnie od wielkości prowadzonej działalności — musi liczyć się z możliwością wystąpienia incydentu związanego z bezpieczeństwem tych danych. Ogólne rozporządzenie o ochronie danych (RODO) precyzyjnie określa, jakie kroki administrator danych jest zobowiązany podjąć w takiej sytuacji oraz w jakim terminie. Poniżej przedstawiono podstawowe obowiązki wynikające z przepisów, wraz ze wskazaniem konsekwencji ich niedopełnienia.
Czym jest naruszenie ochrony danych osobowych
Zgodnie z art. 4 pkt 12 RODO, naruszeniem ochrony danych osobowych jest naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.
Definicja ta jest szeroka i obejmuje zarówno zdarzenia wynikające z celowego działania osób trzecich (np. włamanie do systemu informatycznego, kradzież nośnika danych), jak i zdarzenia przypadkowe (np. wysłanie wiadomości e-mail z załącznikiem zawierającym dane osobowe do niewłaściwego adresata, utrata niezaszyfrowanego laptopa lub pendrive’a, błędna konfiguracja uprawnień dostępu do systemu). Naruszeniem będzie również zdarzenie, w którym nie doszło do ujawnienia danych osobom nieuprawnionym, lecz do ich utraty lub zniszczenia — na przykład w wyniku awarii serwera bez kopii zapasowej.
Pierwszy krok: ocena ryzyka
Po wykryciu incydentu administrator danych jest zobowiązany do niezwłocznej oceny, czy doszło do naruszenia ochrony danych osobowych w rozumieniu RODO, a jeśli tak — jakie jest prawdopodobieństwo negatywnych skutków dla praw lub wolności osób fizycznych, których dane dotyczą. Od wyniku tej oceny zależy zakres dalszych obowiązków. Ocena powinna uwzględniać m.in. rodzaj i zakres naruszonych danych, liczbę osób, których dane dotyczą, łatwość identyfikacji tych osób oraz potencjalne konsekwencje (np. ryzyko dyskryminacji, kradzieży tożsamości, strat finansowych czy naruszenia dobrego imienia). Rekomendowane jest, aby ocena ta była przeprowadzona i udokumentowana bez zbędnej zwłoki, ponieważ od momentu powzięcia wiadomości o naruszeniu biegnie termin ustawowy na zgłoszenie do organu nadzorczego.
Zgłoszenie do Prezesa Urzędu Ochrony Danych Osobowych (art. 33 RODO)
Jeżeli naruszenie ochrony danych osobowych może powodować ryzyko naruszenia praw lub wolności osób fizycznych, administrator ma obowiązek zgłosić je Prezesowi Urzędu Ochrony Danych Osobowych (UODO) bez zbędnej zwłoki — w miarę możliwości, nie później niż w terminie 72 godzin od stwierdzenia naruszenia. Jeżeli zgłoszenie nie następuje w tym terminie, do zgłoszenia należy dołączyć wyjaśnienie przyczyn opóźnienia.
Obowiązek zgłoszenia nie powstaje, jeżeli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych — decyzja o odstąpieniu od zgłoszenia powinna być jednak w każdym przypadku udokumentowana i uzasadniona.
Zgodnie z art. 33 ust. 3 RODO zgłoszenie powinno co najmniej:
- opisywać charakter naruszenia, w tym w miarę możliwości kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie,
- zawierać imię, nazwisko oraz dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego,
- opisywać możliwe konsekwencje naruszenia,
- opisywać środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu, w tym środki mające zminimalizować jego ewentualne negatywne skutki.
Jeżeli nie wszystkie informacje są dostępne od razu, RODO dopuszcza ich przekazywanie sukcesywnie, bez zbędnej dalszej zwłoki (art. 33 ust. 4 RODO).
Na terenie Polski zgłoszenia do Prezesa UODO dokonuje się drogą elektroniczną, za pomocą dedykowanego formularza dostępnego na platformie biznes.gov.pl. Urząd udostępnia również formularz w wersji papierowej jako materiał pomocniczy.
Zawiadomienie osób, których dane dotyczą (art. 34 RODO)
Odrębnym i dalej idącym obowiązkiem jest zawiadomienie samych osób, których dane zostały naruszone. Powstaje on wtedy, gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności tych osób. Zawiadomienie — sformułowane jasnym i prostym językiem — powinno opisywać charakter naruszenia oraz zawierać informacje analogiczne do tych wskazanych w art. 33 ust. 3 lit. b–d RODO (dane kontaktowe IOD, możliwe konsekwencje, zastosowane lub proponowane środki zaradcze).
RODO przewiduje trzy sytuacje, w których zawiadomienie osób fizycznych nie jest wymagane (art. 34 ust. 3 RODO):
- administrator zastosował odpowiednie techniczne i organizacyjne środki ochrony (np. szyfrowanie), które uniemożliwiają odczyt danych osobom nieuprawnionym,
- administrator zastosował następnie środki eliminujące prawdopodobieństwo wystąpienia wysokiego ryzyka,
- wymagałoby to niewspółmiernie dużego wysiłku — w takim przypadku stosuje się publiczny komunikat lub podobny środek, za pomocą którego osoby, których dane dotyczą, zostają poinformowane w równie skuteczny sposób.
Obowiązek dokumentowania — niezależnie od zgłoszenia
Niezależnie od tego, czy dane naruszenie zostało zgłoszone Prezesowi UODO, art. 33 ust. 5 RODO nakłada na administratora obowiązek dokumentowania wszystkich naruszeń ochrony danych osobowych, w tym okoliczności naruszenia, jego skutków oraz podjętych działań zaradczych. Dokumentacja ta (w praktyce prowadzona najczęściej w formie rejestru naruszeń) musi umożliwiać organowi nadzorczemu weryfikację przestrzegania przepisów i powinna być prowadzona nawet wtedy, gdy administrator uznał, że zgłoszenie do UODO nie było konieczne.
Konsekwencje niedopełnienia obowiązków
Naruszenie obowiązków wynikających z art. 33 i 34 RODO podlega administracyjnej karze pieniężnej na podstawie art. 83 ust. 4 RODO — do 10 000 000 EUR, a w przypadku przedsiębiorstwa do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa. Warto podkreślić, że podstawą nałożenia kary bywa nie tylko sam fakt wystąpienia naruszenia, lecz przede wszystkim brak lub nieprawidłowość zgłoszenia, brak dokumentacji albo przekroczenie terminu bez uzasadnienia.
Praktyczne wnioski
Skuteczna reakcja na naruszenie ochrony danych osobowych wymaga wcześniejszego przygotowania — w szczególności wdrożenia wewnętrznej procedury postępowania na wypadek incydentu, jasnego określenia osób odpowiedzialnych za ocenę ryzyka i kontakt z inspektorem ochrony danych, a także prowadzenia bieżącego rejestru zdarzeń. Krótki, 72-godzinny termin ustawowy sprawia, że najistotniejszym czynnikiem jest czas reakcji od momentu wykrycia incydentu — dlatego przygotowanie odpowiednich procedur powinno nastąpić z wyprzedzeniem, a nie dopiero w chwili wystąpienia naruszenia.
Niniejszy artykuł ma charakter ogólnoinformacyjny i nie stanowi porady prawnej w indywidualnej sprawie. W przypadku wystąpienia konkretnego incydentu związanego z bezpieczeństwem danych osobowych rekomendowana jest konsultacja z inspektorem ochrony danych lub doradcą prawnym.