naruszenie ochrony danych osobowych

Naruszenie ochrony danych osobowych to według art. 4 pkt 12 RODO naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych ^[1]. Pojęcie jest szersze niż potoczny wyciek danych. Obejmuje też dane zaszyfrowane przez atakującego, skasowane bez kopii albo po cichu zmienione. Od oceny, czy naruszenie wystąpiło i jakie niesie ryzyko, zależą obowiązki administratora danych osobowych wobec organu nadzorczego i wobec osób, których dane dotyczą.

Rodzaje naruszeń

Europejska Rada Ochrony Danych (EDPB), powołując się na wcześniejsze stanowiska Grupy Roboczej Art. 29, dzieli naruszenia według trzech zasad bezpieczeństwa informacji ^[2]. Jedno zdarzenie może należeć do kilku kategorii naraz.

EDPB przypomina, że naruszenie może wyrządzić osobom szkody fizyczne, majątkowe lub niemajątkowe. Wymienia wśród nich utratę kontroli nad danymi, dyskryminację, kradzież tożsamości lub oszustwo, stratę finansową i naruszenie dobrego imienia ^[2].

Ocena ryzyka i obowiązki

RODO stopniuje obowiązki według ryzyka dla praw i wolności osób. Każde naruszenie administrator dokumentuje, opisując okoliczności, skutki i podjęte działania zaradcze (art. 33 ust. 5) ^[1]. Jeśli naruszenie może skutkować ryzykiem, administrator zgłasza je organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia ^[1]. Gdy ryzyko jest wysokie, zawiadamia także osoby, których dane dotyczą (art. 34 ust. 1) ^[1]. Ścieżkę decyzji pokazuje schemat poniżej.

RYS. 1Od stwierdzenia do zawiadomienia

Zawiadomienie osób nie jest wymagane w trzech sytuacjach określonych w art. 34 ust. 3. Chodzi o dane zabezpieczone tak, że są niezrozumiałe dla osób nieuprawnionych, na przykład przez szyfrowanie. Druga sytuacja to późniejsze środki, które eliminują prawdopodobieństwo wysokiego ryzyka. Trzecia to nieproporcjonalnie duży wysiłek; wtedy zamiast zawiadomień indywidualnych stosuje się publiczny komunikat ^[1]. Podmiot przetwarzający, na przykład firma hostingowa, sam organu nie zawiadamia. Po stwierdzeniu naruszenia informuje o nim administratora bez zbędnej zwłoki (art. 33 ust. 2) ^[1].

Szczegóły formularza i trybu opisuje hasło zgłoszenie naruszenia ochrony danych. UODO dopuszcza zgłoszenie wstępne, które zaznacza się w formularzu i uzupełnia później ^[3]. W firmach, które go wyznaczyły, zgłoszenie koordynuje inspektor ochrony danych.

W WordPressie

Strona na WordPressie przetwarza dane osobowe w wielu miejscach: w kontach użytkowników, komentarzach, zgłoszeniach z formularzy, zamówieniach sklepu i listach mailingowych. Każde włamanie na taką stronę trzeba więc ocenić także pod kątem RODO. Wytyczne EDPB 01/2021 zawierają kilka przypadków, które dobrze pasują do typowych stron.

Złośliwy kod na stronie z formularzami. W przypadku nr 05 agencja zatrudnienia padła ofiarą ataku, w którym na stronie umieszczono złośliwy kod ^[2]. Kod udostępnił napastnikowi dane z formularzy aplikacyjnych przechowywane na serwerze. Dotyczyło to 213 formularzy, a zestaw narzędzi wykryto dopiero miesiąc po instalacji ^[2]. EDPB uznała, że ryzyko jest wysokie, więc trzeba zawiadomić osoby i zgłosić sprawę organowi ^[2]. Wśród środków zapobiegawczych wymieniła aktualizacje, escapowanie i sanityzację danych wejściowych oraz narzędzia do monitorowania integralności plików ^[2].

Wyciek skrótów haseł. W przypadku nr 06 napastnik wykorzystał SQL injection na stronie kulinarnej i uzyskał skróty haseł 1200 użytkowników ^[2]. Hasła były zapisane silnym algorytmem funkcji skrótu (hashowanie), a sól nie wyciekła; jako nazw użytkowników używano dowolnych pseudonimów, a nie adresów e-mail ^[2]. EDPB uznała, że wystarczy dokumentacja, choć zawiadomienie osób o wycieku haseł zaleca w każdym przypadku ^[2]. Jako środek ograniczający ryzyko wskazała limit prób logowania ^[2].

Ransomware i kopia zapasowa. W przypadku nr 01 dane zaszyfrowano bez ich wyprowadzenia, a firma odtworzyła je z kopii w ciągu kilku godzin ^[2]. Po analizie administrator uznał, że ryzyko dla osób jest mało prawdopodobne, więc naruszenie wystarczyło udokumentować ^[2]. Sprawna kopia zapasowa (backup) zmienia więc nie tylko czas przestoju, ale i zakres obowiązków prawnych.

Dokumentacja WordPressa zaleca, by po włamaniu najpierw spisać objawy, godziny ze strefą czasową i ostatnie zmiany na stronie. Taki zapis staje się podstawą raportu z incydentu ^[5]. Ten sam materiał jest potrzebny do dokumentacji naruszenia i do ustalenia chwili jego stwierdzenia.

Kary

Naruszenie obowiązków z art. 33 i 34 podlega administracyjnej karze pieniężnej do 10 000 000 euro. W przypadku przedsiębiorstwa kara może sięgnąć 2 procent całkowitego rocznego światowego obrotu, jeśli ta kwota jest wyższa (art. 83 ust. 4) ^[1]. Ustalając wysokość kary, organ bierze pod uwagę m.in. sposób, w jaki dowiedział się o naruszeniu, w szczególności czy administrator sam je zgłosił ^[1].

Historia i przykłady

Obowiązek zgłaszania naruszeń stosuje się od 25 maja 2018 roku, gdy RODO zaczęło obowiązywać ^[1]. Niebezpiecznik opublikował 25 czerwca 2019 roku dane rzecznika UODO za pierwszy rok. Od 25 maja 2018 do 25 maja 2019 roku zgłoszono do urzędu 4539 naruszeń ^[4]. W tym samym okresie urząd wskazał 813 przypadków, w których administratorzy powinni byli zawiadomić osoby, a nie zrobili tego albo zrobili to nieprawidłowo ^[4]. Urząd nie zbierał danych o liczbie zawiadomień wysłanych do osób ^[4]. Dobre przygotowanie do takiej sytuacji jest częścią procesu reagowania na incydenty.