Problem · RODO

Co zrobić po naruszeniu ochrony danych?

Pierwsze 72 godziny po wykryciu naruszenia są kluczowe - to tyle czasu ma administrator na zgłoszenie go do PUODO, jeśli ryzyko jest istotne.

Najpierw trzeba ustalić zakres i skutki naruszenia oraz podjąć działania minimalizujące szkodę (np. odcięcie dostępu, zmiana haseł). Następnie ocenia się ryzyko dla praw i wolności osób, których dane dotyczą - jeśli ryzyko jest realne, naruszenie zgłasza się do PUODO w ciągu 72 godzin, a przy wysokim ryzyku dodatkowo informuje się same osoby.

RODO definiuje naruszenie ochrony danych bardzo szeroko - jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Oznacza to, że naruszeniem jest nie tylko włamanie do systemu, ale też np. wysłanie maila z danymi do niewłaściwego adresata, zgubienie służbowego laptopa czy przypadkowe usunięcie bazy danych bez kopii zapasowej.

Każde naruszenie, niezależnie od tego, czy zostało zgłoszone do PUODO, powinno trafić do wewnętrznego rejestru naruszeń wraz z opisem okoliczności, skutków i podjętych działań naprawczych - to podstawowy dowód rozliczalności.

Warto podkreślić, że brak zgłoszenia naruszenia, mimo istnienia takiego obowiązku, jest odrębnym naruszeniem RODO - karanym niezależnie od kary za samo zdarzenie, które doprowadziło do wycieku czy utraty danych. Dlatego decyzję o tym, czy zgłosić dane zdarzenie, najlepiej podejmować wspólnie z IOD lub prawnikiem, udokumentowując tok rozumowania nawet wtedy, gdy ostatecznie uznano, że zgłoszenie nie jest wymagane.

Podstawa prawna

art. 33-34 RODO