W przypadku wycieku danych administrator powinien niezwłocznie ustalić, czy doszło do naruszenia ochrony danych osobowych, ocenić ryzyko dla osób fizycznych i – jeśli ryzyko występuje – zgłosić incydent Prezesowi UODO w ciągu 72 godzin od uzyskania wiedzy o naruszeniu. Zgłoszenie po terminie nadal trzeba wysłać, wyjaśniając przyczynę opóźnienia. Przy wysokim ryzyku należy także bez zbędnej zwłoki poinformować osoby, których dane dotyczą.
Ważne zastrzeżenie
Ten materiał ma charakter informacyjny i nie zastępuje indywidualnej porady prawnej. Przy naruszeniu obejmującym dane szczególnie wrażliwe, dużą liczbę osób albo skomplikowaną sytuację organizacyjną warto skonsultować działania z prawnikiem lub inspektorem ochrony danych.
Jak zgłosić wyciek danych krok po kroku?
Procedura powinna łączyć szybkie zabezpieczenie incydentu z rzetelną oceną ryzyka. Nie należy czekać na ustalenie wszystkich szczegółów, jeżeli upływa termin określony w RODO.
- Zidentyfikuj i ogranicz naruszenie – ustal, jakie systemy, pliki lub konta zostały objęte incydentem. Zablokuj nieuprawniony dostęp, zmień zagrożone dane uwierzytelniające i zabezpiecz kopie logów oraz inne dowody.
- Oceń ryzyko dla praw i wolności osób – sprawdź, jakie dane mogły zostać ujawnione, ilu osób dotyczą i czy mogą prowadzić między innymi do kradzieży tożsamości, oszustwa, dyskryminacji lub naruszenia prywatności.
- Przygotuj zgłoszenie do Prezesa UODO – jeśli naruszenie może powodować ryzyko dla osób fizycznych, administrator powinien przekazać zgłoszenie organowi nadzorczemu w ciągu 72 godzin od uzyskania wiedzy o naruszeniu. Zgłoszenie składa się kanałem wskazanym przez UODO, z wykorzystaniem aktualnego formularza lub systemu elektronicznego dostępnego na stronie urzędu.
- Uzupełnij zgłoszenie, jeśli nie znasz jeszcze wszystkich danych – pierwsze zawiadomienie może zawierać informacje dostępne w chwili jego składania. Brakujące ustalenia należy przekazać później, bez nieuzasadnionej zwłoki.
- Poinformuj osoby, których dane dotyczą – jest to wymagane, gdy naruszenie może powodować wysokie ryzyko dla ich praw i wolności. Komunikat powinien jasno opisywać charakter zdarzenia, możliwe skutki oraz działania, które osoby mogą podjąć w celu ograniczenia ryzyka.
Zgłoszenie do UODO i zawiadomienie osób to dwa odrębne obowiązki. Samo poinformowanie poszkodowanych nie zastępuje zgłoszenia organowi, a brak obowiązku zawiadomienia osób nie oznacza automatycznie braku obowiązku zgłoszenia naruszenia do UODO.
Co musi zawierać zgłoszenie do UODO?
Zakres informacji powinien pozwolić organowi ocenić charakter incydentu, jego skutki i reakcję administratora. W zgłoszeniu należy ująć:
- Opis naruszenia – na czym polegało zdarzenie, kiedy je wykryto i czy nadal trwa.
- Zakres danych i osób – kategorie danych osobowych oraz przybliżoną liczbę osób, których dane dotyczą.
- Dane kontaktowe – kontakt do administratora, a jeżeli został wyznaczony, także do inspektora ochrony danych.
- Możliwe konsekwencje – przewidywane skutki naruszenia dla osób fizycznych.
- Działania naprawcze – środki zastosowane lub planowane w celu usunięcia naruszenia i ograniczenia jego negatywnych skutków.
Jeżeli analiza wykaże, że naruszenie jest mało prawdopodobne, aby powodowało ryzyko dla praw i wolności osób, zgłoszenie do UODO może nie być wymagane. Administrator powinien jednak umieć uzasadnić taką ocenę.
Terminy i obowiązki
| Działanie | Termin | Warunek |
|---|---|---|
| Zgłoszenie do UODO | Do 72 godzin od uzyskania wiedzy o naruszeniu | Naruszenie powoduje lub może powodować ryzyko dla praw i wolności osób |
| Poinformowanie osób | Bez zbędnej zwłoki | Naruszenie może powodować wysokie ryzyko dla praw i wolności osób |
| Dokumentacja wewnętrzna | Bez określonego jednego terminu, na bieżąco | Każde naruszenie, także takie, którego nie zgłoszono do UODO |
Jak dokumentować incydent?
Administrator powinien prowadzić wewnętrzny rejestr naruszeń ochrony danych osobowych. Należy zapisać w nim między innymi datę i opis zdarzenia, zakres naruszonych danych, przeprowadzoną ocenę ryzyka, podjęte działania oraz uzasadnienie decyzji o zgłoszeniu albo odstąpieniu od zgłoszenia do UODO.
Taka dokumentacja realizuje zasadę rozliczalności. Jest potrzebna również wtedy, gdy analiza wykaże brak obowiązku zawiadomienia organu lub osób, których dane dotyczą. Najważniejsze jest szybkie rozpoczęcie oceny, zachowanie dowodów i pilnowanie 72-godzinnego terminu.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. W przypadku konkretnego naruszenia należy rozważyć konsultację z prawnikiem lub inspektorem ochrony danych.
