RODO

RODO to potoczna nazwa rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 roku, czyli ogólnego rozporządzenia o ochronie danych ^[1]. Reguluje przetwarzanie danych osobowych w całej Unii i jest bezpośrednio stosowane we wszystkich państwach członkowskich od 25 maja 2018 roku ^[1]. Ten artykuł omawia przede wszystkim te jego elementy, które dotyczą bezpieczeństwa stron internetowych: obowiązek zabezpieczenia danych, zgłaszanie naruszeń i kary pieniężne.

Kogo dotyczy

Rozporządzenie ma zastosowanie do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany ^[1]. Nie obejmuje m.in. przetwarzania przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze ^[1]. Kluczowe są trzy definicje z art. 4.

Właściciel strony internetowej zbierającej dane z formularzy jest zwykle administratorem. Firma hostingowa albo agencja utrzymująca stronę bywa podmiotem przetwarzającym. Administrator może korzystać tylko z takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych ^[1].

Zasady i bezpieczeństwo danych

Art. 5 wymienia zasady przetwarzania, w tym minimalizację danych i ograniczenie przechowywania ^[1]. Z punktu widzenia bezpieczeństwa najważniejsza jest zasada integralności i poufności: dane mają być przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo, w tym ochronę przed niedozwolonym przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem ^[1]. Administrator musi być w stanie wykazać przestrzeganie tych zasad, co rozporządzenie nazywa rozliczalnością ^[1].

Art. 32 przekłada to na konkretne zabezpieczenia. Administrator i podmiot przetwarzający wdrażają środki techniczne i organizacyjne odpowiednie do ryzyka, uwzględniając stan wiedzy technicznej i koszt wdrożenia ^[1]. Rozporządzenie podaje przykłady:

• pseudonimizację i szyfrowanie danych osobowych ^[1];
• zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów ^[1];
• zdolność do szybkiego przywrócenia dostępności danych po incydencie, w praktyce przez kopię zapasową (backup) ^[1];
• regularne testowanie i ocenianie skuteczności środków bezpieczeństwa ^[1].

RODO nie wymienia konkretnych technologii. Ich dobór wynika z szacowania ryzyka dla danego przetwarzania.

Naruszenia i ich zgłaszanie

Naruszenie ochrony danych osobowych to według art. 4 pkt 12 naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych ^[1]. Obejmuje więc zarówno wyciek danych po włamaniu, jak i utratę danych bez kopii.

Administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin po jego stwierdzeniu, chyba że ryzyko dla praw lub wolności osób jest mało prawdopodobne ^[1]. Zgłoszenie po tym terminie musi zawierać wyjaśnienie przyczyn opóźnienia ^[1]. Gdy naruszenie może powodować wysokie ryzyko, administrator zawiadamia też osoby, których dane dotyczą ^[1]. Przebieg pokazuje schemat poniżej.

RYS. 1Zgłoszenie naruszenia według art. 33 i 34

W Polsce organem nadzorczym jest Prezes UODO. Zgłoszenia naruszenia dokonuje się elektronicznie przez formularz na platformie biznes.gov.pl albo na formularzu papierowym; formularz jest przeznaczony wyłącznie dla administratorów ^[2]. Każde naruszenie, także niezgłaszane, administrator dokumentuje wraz z okolicznościami, skutkami i działaniami zaradczymi ^[1]. Zgłoszenie musi co najmniej opisywać charakter naruszenia, w miarę możliwości z kategoriami i przybliżoną liczbą osób i wpisów, możliwe konsekwencje oraz środki zastosowane lub proponowane w celu zaradzenia naruszeniu ^[1]. Zawiera też dane kontaktowe inspektora ochrony danych albo innego punktu kontaktowego ^[1]. Jeśli nie wszystkie informacje są znane od razu, można je przekazywać sukcesywnie ^[1]. Zawiadomienie osób, których dane dotyczą, opisuje charakter naruszenia jasnym i prostym językiem ^[1].

Zawiadomienie osób nie jest wymagane, jeśli administrator zastosował do danych środki uniemożliwiające ich odczyt osobom nieuprawnionym, w szczególności szyfrowanie ^[1].

W WordPressie

Narzędzia prywatności w rdzeniu pojawiły się w wersji 4.9.6 z 17 maja 2018 roku, tuż przed rozpoczęciem stosowania RODO 25 maja ^[4]. Właściciel strony może od tego czasu wskazać stronę polityki prywatności, wyeksportować dane osobowe użytkownika do pliku ZIP i usunąć je na żądanie ^[4]. Niezalogowani komentujący wybierają, czy ich imię, adres e-mail i adres strony mają zostać zapisane w ciasteczku przeglądarki ^[4].

Dokumentacja podkreśla granice tych narzędzi. Zbierają one dane tylko z WordPressa i wtyczek, które z nimi współpracują, więc nie obejmują np. usług analitycznych czy newsletterów zewnętrznych dostawców ^[5]. Usunięcie danych nie usuwa ich z kopii zapasowych, dlatego przy przywracaniu strony z kopii żądania usunięcia należy uszanować ^[5]. Dokumentacja zaznacza też wprost, że narzędzia pomagają w części procesu, ale same nie są procesem zapewnienia zgodności ^[5].

Autorzy wtyczek zbierających dane osobowe mogą dopisać tekst do polityki prywatności funkcją wp_add_privacy_policy_content() oraz dostarczyć własne procedury eksportu i usuwania danych ^[6]. Podręcznik zachęca też do ograniczania danych w logach, np. funkcją wp_privacy_anonymize_data() ^[6]. Rdzeń według dokumentacji nie ma narzędzi do zbierania zgód na przetwarzanie danych; służą do tego wtyczki ^[5]. Pokrewnym tematem jest zgoda na pliki cookie.

Kary

Art. 83 przewiduje dwa progi administracyjnych kar pieniężnych ^[1]. Kary mają być w każdym przypadku skuteczne, proporcjonalne i odstraszające ^[1].

Naruszenia art. 32 i 33, czyli zabezpieczeń i zgłaszania, należą do pierwszej grupy ^[1]. Ustalając wysokość kary, organ bierze pod uwagę m.in. środki techniczne i organizacyjne wdrożone przez administratora oraz to, czy sam zgłosił naruszenie ^[1].

Historia i przykłady

W komunikacie z 8 lutego 2024 roku UODO poinformował o ponownym ukaraniu spółki Morele.net karą ponad 3,8 mln zł za naruszenie, w którym wyciekły dane 2,2 mln osób ^[3]. Organ wskazał brak uwierzytelniania dwuskładnikowego (2FA), brak szyfrowania części danych, brak analizy ryzyka i brak rozwiązań do monitorowania ruchu w sieci ^[3]. Poprzednią decyzję w tej sprawie Naczelny Sąd Administracyjny uchylił 9 lutego 2023 roku ^[3]. Pokrewne obowiązki w cyberbezpieczeństwie nakłada dyrektywa NIS2.