Wyciek danych klientów – co musi zrobić firma w 72 godziny?
Dział księgowości niewielkiej spółki wysyła fakturę na niewłaściwy adres e-mail, ujawniając przy tym dane kilkudziesięciu klientów zapisane w załączonym pliku. Taki incydent, choć wynika najczęściej z pomyłki, a nie złej woli, rodzi po stronie firmy konkretne obowiązki prawne, których termin realizacji liczy się w godzinach, a nie tygodniach. Właśnie dlatego ochrona danych osobowych przestała być tematem zarezerwowanym wyłącznie dla dużych korporacji i dotyczy dziś praktycznie każdego podmiotu przetwarzającego informacje o swoich klientach czy pracownikach. W dalszej części artykułu wyjaśniamy, jakie kroki podjąć po wykryciu naruszenia oraz na jakie obszary działalności firmy warto zwrócić uwagę, zanim do takiej sytuacji w ogóle dojdzie.
Czym jest naruszenie ochrony danych osobowych?
Naruszenie ochrony danych osobowych to zdarzenie prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych. Może przybrać formę wysłania dokumentów do niewłaściwego adresata, kradzieży laptopa zawierającego bazę klientów albo ataku hakerskiego na system informatyczny firmy. RODO nakłada na administratora obowiązek zgłoszenia poważnego naruszenia do organu nadzorczego w terminie 72 godzin od jego wykrycia, co oznacza, że firma musi działać szybko, zanim jeszcze w pełni oceni skalę zdarzenia. Termin ten liczy się od momentu, w którym administrator powziął wiadomość o naruszeniu, a nie od chwili jego faktycznego wystąpienia.
Jakie kroki podjąć zaraz po wykryciu incydentu?
Reakcja na naruszenie ochrony danych wymaga działania na kilku płaszczyznach jednocześnie, ponieważ opóźnienie w którymkolwiek z obszarów zwiększa ryzyko dla osób, których dane dotyczą. Poniżej przedstawiono kolejność działań, jaką zwykle przyjmuje firma po ujawnieniu incydentu:
- Zabezpieczenie systemu lub dokumentacji, żeby zapobiec dalszemu rozprzestrzenianiu się skutków naruszenia.
- Ustalenie zakresu naruszenia, w tym liczby osób dotkniętych zdarzeniem oraz rodzaju ujawnionych danych.
- Ocena ryzyka dla praw i wolności osób fizycznych, która decyduje o tym, czy zgłoszenie do organu jest obowiązkowe.
- Przygotowanie zgłoszenia do organu nadzorczego, jeśli ryzyko naruszenia okazuje się istotne.
- Poinformowanie osób, których dane dotyczą, gdy naruszenie może powodować dla nich wysokie ryzyko.
Każdy z tych etapów wymaga udokumentowania, ponieważ organ nadzorczy może później zażądać wyjaśnień dotyczących przebiegu całego zdarzenia, nawet jeśli firma ostatecznie zdecydowała się nie zgłaszać naruszenia.
Kiedy zgłoszenie do organu nie jest konieczne?
Nie każde naruszenie wymaga zgłoszenia do Prezesa Urzędu Ochrony Danych Osobowych, ponieważ przepisy przewidują wyjątek dla sytuacji, w których naruszenie nie skutkuje ryzykiem naruszenia praw lub wolności osób fizycznych. Przykładem bywa sytuacja, w której omyłkowo wysłany dokument został natychmiast usunięty przez odbiorcę i firma dysponuje na to dowodem, na przykład potwierdzeniem od tej osoby. Ocena, czy dany przypadek kwalifikuje się do takiego wyjątku, wymaga jednak analizy konkretnych okoliczności, a nie mechanicznego zastosowania jednego kryterium.
Jak zapobiegać naruszeniom, zanim do nich dojdzie?
Prewencja w obszarze ochrony danych osobowych opiera się głównie na wdrożeniu odpowiednich procedur oraz regularnym szkoleniu pracowników mających kontakt z danymi klientów. Firmy, które inwestują w takie działania jeszcze przed wystąpieniem incydentu, zyskują nie tylko mniejsze ryzyko naruszenia, ale też łatwiej wykazują przed organem, że dochowały należytej staranności. Poniższa tabela pokazuje, jak różnią się typowe działania w zależności od etapu funkcjonowania systemu ochrony danych w firmie.
| Etap | Typowe działania |
|---|---|
| przed wdrożeniem procedur | audyt przetwarzanych danych, opracowanie polityki bezpieczeństwa, wyznaczenie inspektora ochrony danych |
| bieżące funkcjonowanie | szkolenia pracowników, weryfikacja umów powierzenia, aktualizacja rejestru czynności przetwarzania |
| po wystąpieniu incydentu | ocena ryzyka, zgłoszenie do organu, komunikacja z osobami dotkniętymi naruszeniem |
Regularny przegląd tych procedur pozwala firmie zauważyć luki w zabezpieczeniach, zanim wykorzysta je osoba trzecia albo ujawni przypadkowy błąd pracownika.
Kiedy warto skonsultować się z prawnikiem specjalizującym się w RODO?
Wsparcie prawne w tym obszarze przydaje się nie tylko w sytuacji kryzysowej, ale też przy budowaniu systemu ochrony danych od podstaw, na przykład podczas wdrażania nowego produktu przetwarzającego dane klientów. Do sytuacji, w których warto rozważyć taką konsultację, należą między innymi wdrażanie nowych systemów IT gromadzących dane osobowe, zawieranie umów powierzenia przetwarzania z podmiotami zewnętrznymi oraz reakcja na kontrolę lub zapytanie ze strony organu nadzorczego. Więcej informacji o zakresie takiej pomocy prawnej można znaleźć pod adresem https://jdp-law.pl/ochrona-danych-osobowych/, gdzie opisano poszczególne obszary tej praktyki.
Co warto zapamiętać, budując system ochrony danych w firmie?
Ochrona danych osobowych nie sprowadza się do jednorazowego wdrożenia dokumentacji, lecz wymaga stałego monitorowania procesów, w których dane są gromadzone, przetwarzane i przekazywane dalej. Firmy, które traktują te przepisy jako element codziennego zarządzania ryzykiem, a nie formalność odhaczaną raz do roku, zyskują większą pewność, że w razie incydentu poradzą sobie z nim sprawnie i zgodnie z wymaganymi terminami. Znajomość procedur reagowania na naruszenia przydaje się zarówno małym firmom przetwarzającym dane nielicznej grupy klientów, jak i większym podmiotom zarządzającym rozbudowanymi bazami danych osobowych.