zgłoszenie naruszenia ochrony danych

Zgłoszenie naruszenia ochrony danych to prawny obowiązek poinformowania organu nadzorczego o incydencie, w którym dane osobowe zostały ujawnione, utracone, zmienione lub zniszczone. RODO rozróżnia dwa odrębne obowiązki: zgłoszenie naruszenia organowi nadzorczemu (art. 33) oraz zawiadomienie osób, których dane dotyczą (art. 34) ^[1]. W Polsce organem nadzorczym jest Prezes UODO, a zgłoszenia składa się elektronicznie przez formularz na platformie biznes.gov.pl ^[2].

Kogo dotyczy

Obowiązek zgłoszenia ciąży na administratorze danych osobowych. UODO zaznacza, że formularz jest przeznaczony wyłącznie dla administratorów zgłaszających naruszenia w rozumieniu art. 4 pkt 12 RODO ^[2]. Przepis ten definiuje naruszenie ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych ^[1].

Podmiot przetwarzający, na przykład firma hostingowa albo agencja utrzymująca stronę, nie zgłasza naruszenia do UODO, tylko bez zbędnej zwłoki informuje administratora (art. 33 ust. 2) ^[1]. EDPB wyjaśnia, że podmiot przetwarzający nie musi najpierw oceniać ryzyka; tę ocenę wykonuje administrator ^[4]. Szczegóły współpracy ustala umowa powierzenia przetwarzania danych osobowych.

EDPB przywołuje trzy kategorie naruszeń: naruszenie poufności (nieuprawnione ujawnienie lub dostęp), integralności (nieuprawniona zmiana) i dostępności (utrata dostępu lub zniszczenie danych) ^[4]. Jako przykład utraty dostępności podaje sytuację, w której jedyną kopię danych zaszyfrował ransomware ^[4].

Jak działa

Administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia ^[1]. Zgłoszenia nie trzeba składać, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych ^[1]. Do zgłoszenia złożonego po 72 godzinach dołącza się wyjaśnienie przyczyn opóźnienia ^[1].

Termin biegnie od „stwierdzenia” naruszenia. Według EDPB administrator stwierdza naruszenie wtedy, gdy ma rozsądny stopień pewności, że doszło do incydentu bezpieczeństwa, który naruszył dane osobowe ^[4]. Przebieg informacji pokazuje schemat poniżej.

RYS. 1Zgłoszenie i zawiadomienie według art. 33 i 34 RODO

Treść zgłoszenia i zawiadomienia

Art. 33 ust. 3 RODO określa minimalną treść zgłoszenia ^[1]. Musi ono opisywać charakter naruszenia, w tym w miarę możliwości kategorie i przybliżoną liczbę osób oraz wpisów danych; zawierać dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego; opisywać możliwe konsekwencje oraz środki zastosowane lub proponowane w celu zaradzenia naruszeniu ^[1]. Jeśli nie da się podać wszystkiego naraz, informacje można przekazywać sukcesywnie, bez zbędnej zwłoki ^[1].

Oba obowiązki porównuje tabela.

Zawiadomienia osób nie wymaga się w trzech przypadkach: gdy dane były chronione środkami uniemożliwiającymi odczyt osobom nieuprawnionym, takimi jak szyfrowanie; gdy administrator zastosował potem środki eliminujące wysokie ryzyko; oraz gdy zawiadomienie wymagałoby niewspółmiernie dużego wysiłku, ale wtedy wydaje się publiczny komunikat ^[1]. Organ nadzorczy może zażądać zawiadomienia, jeśli administrator go nie wysłał ^[1].

Niezależnie od zgłoszenia administrator dokumentuje wszelkie naruszenia: okoliczności, skutki i podjęte działania zaradcze (art. 33 ust. 5) ^[1]. Dotyczy to także naruszeń, których nie zgłoszono.

W WordPressie

Strona na WordPressie przetwarza dane osobowe w formularzach kontaktowych, komentarzach, kontach użytkowników i zamówieniach sklepu. Wyciek danych przez podatność we wtyczce albo przejęcie konta administratora to typowe sytuacje, w których trzeba ocenić, czy zgłoszenie jest wymagane. Administratorem danych jest zwykle właściciel strony, a hosting i agencja utrzymująca stronę działają jako podmioty przetwarzające.

Dokumentacja WordPressa zaleca, by po włamaniu zacząć od zapisania objawów, czasu ich zauważenia i ostatnich zmian na stronie; nazywa to podstawą raportu z incydentu ^[7]. Te same notatki są potrzebne do wypełnienia zgłoszenia i do dokumentacji z art. 33 ust. 5 ^[1]. Warto je prowadzić od pierwszej godziny, bo termin 72 godzin biegnie także w weekend. Kroki dla takiej sytuacji dobrze zapisać w playbooku reagowania na incydenty.

Gdy strona obsługuje odbiorców w kilku państwach UE, UODO przypomina, że Prezes UODO może, ale nie musi być wiodącym organem nadzorczym; administrator powinien przeanalizować właściwość organów ^[3].

Kary

Naruszenie obowiązków z art. 33 i 34 podlega administracyjnej karze pieniężnej do 10 000 000 EUR, a w przypadku przedsiębiorstwa do 2% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym stosuje się kwotę wyższą (art. 83 ust. 4 lit. a) ^[1]. Przykłady ocen ryzyka i decyzji o zgłoszeniu w konkretnych scenariuszach zebrała EDPB w wytycznych 01/2021 ^[5]. Są wśród nich ataki ransomware z kopią zapasową i bez niej, wykradzenie danych z formularza rekrutacyjnego na stronie internetowej oraz wykradzenie skrótów haseł z serwisu ^[5].

Zgłoszenie a NIS2

Zgłoszenie naruszenia z RODO nie zastępuje zgłoszenia incydentu z NIS2. Dyrektywa wymaga od podmiotów kluczowych i ważnych zgłaszania poważnych incydentów właściwemu CSIRT lub organowi: wczesnego ostrzeżenia w ciągu 24 godzin, zgłoszenia w ciągu 72 godzin i sprawozdania końcowego nie później niż miesiąc po zgłoszeniu ^[6]. Ten sam incydent może więc wymagać dwóch zgłoszeń do dwóch różnych organów. W Polsce przepisy NIS2 wdraża ustawa o krajowym systemie cyberbezpieczeństwa (KSC); szczegóły opisuje hasło obowiązek zgłaszania incydentów.