Naruszenie ochrony danych osobowych zgodnie z GDPR: co powinna zrobić firma i kiedy zawiadomić organ nadzorczy

Pracownik wysłał plik do niewłaściwego odbiorcy, repozytorium okazało się dostępne z zewnątrz, a osoba nieuprawniona uzyskała dane uwierzytelniające administratora. W każdej z tych sytuacji firma musi szybko ustalić, czy incydent dotyczy danych osobowych i czy powoduje powstanie obowiązków wynikających z GDPR.

Na zawiadomienie organu nadzorczego mogą być przewidziane 72 godziny. W tym czasie należy ograniczyć skutki incydentu, zebrać informacje techniczne, ocenić ryzyko dla osób i podjąć decyzję o zgłoszeniu. Jeżeli firma nie posiada wewnętrznej procedury postępowania, zespoły prawny i techniczny zaczynają ustalać swoje obowiązki dopiero po wykryciu problemu, gdy część terminu została już utracona.

Co uznaje się za naruszenie ochrony danych osobowych

GDPR posługuje się pojęciem personal data breach, które jest szersze niż potoczne pojęcie wycieku danych. Za naruszenie uznaje się incydent bezpieczeństwa prowadzący do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, ujawnienia danych osobowych albo uzyskania do nich dostępu.

Naruszenia są zazwyczaj związane z jednym lub kilkoma skutkami:

• utratą poufności, gdy dane trafiają do osoby nieuprawnionej
• naruszeniem integralności, gdy informacje zostają zmienione bez zezwolenia
• utratą dostępności, gdy firma lub użytkownik czasowo albo trwale traci dostęp do danych

Dlatego GDPR może obejmować nieuprawnione kopiowanie bazy danych, omyłkowe wysłanie dokumentu, usunięcie informacji bez kopii zapasowej, infekcję ransomware lub długotrwałą niedostępność krytycznego systemu.

Incydent bezpieczeństwa informacji nie zawsze stanowi naruszenie ochrony danych osobowych. Jeżeli osoba nieuprawniona uzyskała dostęp wyłącznie do zanonimizowanych informacji technicznych, art. 33 i 34 GDPR mogą nie mieć zastosowania. Wniosek ten należy jednak potwierdzić, ponieważ logi i identyfikatory techniczne mogą niekiedy umożliwiać identyfikację osoby i stanowić dane osobowe.

Co powinna zrobić firma po wykryciu incydentu

Ocena prawna powinna być prowadzona równolegle z dochodzeniem technicznym. Oczekiwanie na końcowy raport może doprowadzić do przekroczenia terminu zgłoszenia, natomiast pochopne usuwanie systemów i logów może zniszczyć istotne dowody.

Udokumentować okoliczności wykrycia

Firma zapisuje czas otrzymania pierwszego zgłoszenia, źródło informacji oraz dane dostępne na tym etapie. Należy zachować alerty systemów monitorowania, zgłoszenia użytkowników, dzienniki zdarzeń oraz wewnętrzną korespondencję związaną z wykryciem incydentu. Dokładna chronologia pomoże ustalić, kiedy firma uzyskała wystarczający stopień pewności co do wystąpienia naruszenia i od którego momentu należy liczyć 72 godziny.

Ograniczyć rozprzestrzenianie się incydentu

Zespół techniczny zamyka dostęp zewnętrzny, unieważnia przejęte dane uwierzytelniające, kończy aktywne sesje i izoluje systemy objęte incydentem. Konkretne działania zależą od charakteru zdarzenia, ale nie powinny prowadzić do zniszczenia informacji potrzebnych do przeprowadzenia dochodzenia. Jeżeli dane zostały omyłkowo wysłane znanemu odbiorcy, firma kontaktuje się z nim, prosi o usunięcie pliku oraz potwierdzenie, że informacje nie zostały skopiowane ani przekazane dalej.

Określić zakres danych objętych incydentem

Należy ustalić, które systemy zostały naruszone, jakie kategorie danych osobowych się w nich znajdowały oraz ile osób mogło zostać poszkodowanych. Osobno sprawdza się obecność danych płatniczych, medycznych i biometrycznych, dokumentów oraz danych uwierzytelniających. Na pierwszym etapie dopuszczalne są wartości szacunkowe. Dochodzenie trwa również po dokonaniu zgłoszenia, dlatego zakres informacji można doprecyzowywać w miarę pojawiania się nowych faktów.

Ustalić rolę firmy

Administrator danych podejmuje decyzję o zawiadomieniu organu nadzorczego i osób, których dane dotyczą. Podmiot przetwarzający informuje administratora danych o incydencie bez zbędnej zwłoki i przekazuje informacje niezbędne do oceny jego skutków. Jeżeli w przetwarzaniu uczestniczy kilku wykonawców, należy sprawdzić DPA i ustalić, kto odpowiada za dochodzenie, zawiadomienia oraz współpracę z podwykonawcami przetwarzania.

Ocenić ryzyko i udokumentować decyzję

Firma analizuje prawdopodobieństwo wystąpienia szkody dla osób oraz wagę możliwych konsekwencji. Następnie ustala, czy wystarczające jest dokonanie wewnętrznego wpisu, czy też należy zawiadomić organ nadzorczy i użytkowników. Decyzja powinna zostać udokumentowana na piśmie. Jeżeli zgłoszenie nie jest dokonywane, w dokumentacji należy wskazać dane, okoliczności i środki, na podstawie których uznano wystąpienie ryzyka za mało prawdopodobne.

Od którego momentu liczy się 72 godziny

Administrator danych zawiadamia właściwy organ nadzorczy bez zbędnej zwłoki i, w miarę możliwości, nie później niż w ciągu 72 godzin po stwierdzeniu naruszenia. Uznaje się, że firma posiada wiedzę o naruszeniu, gdy ma wystarczający stopień pewności, że doszło do incydentu dotyczącego danych osobowych. Początkowy sygnał o nietypowej aktywności można zweryfikować. Wewnętrzne dochodzenie nie może jednak służyć do przesuwania początku terminu, jeżeli fakty już potwierdzają wystąpienie naruszenia.

Jeżeli przetwarzanie wykonuje zewnętrzny wykonawca, informuje administratora danych o naruszeniu bez zbędnej zwłoki. GDPR nie przewiduje dla podmiotu przetwarzającego odrębnego terminu 72 godzin. Konkretny termin jest zazwyczaj określany w DPA, ponieważ administrator danych musi mieć czas na przeprowadzenie własnej oceny.

Brak wszystkich szczegółów nie pozwala na odłożenie zgłoszenia do czasu zakończenia dochodzenia. GDPR dopuszcza etapowe przekazywanie informacji. W pierwszym zgłoszeniu można wskazać dostępne informacje, a następnie przekazywać uzupełnienia. W przypadku przekroczenia terminu administrator danych powinien wyjaśnić przyczynę opóźnienia.

Jak ustalić, kogo należy zawiadomić

Obowiązki firmy zależą od ryzyka dla praw i wolności osób. Im poważniejsze są możliwe konsekwencje, tym szerszy jest krąg odbiorców zawiadomienia.

Tabela przedstawia ogólną logikę art. 33 i 34 GDPR. Ocena jest przeprowadzana na podstawie okoliczności konkretnego zdarzenia. Ten sam rodzaj danych może powodować różny poziom ryzyka w zależności od zakresu, odbiorcy, zastosowanych zabezpieczeń oraz sytuacji osób poszkodowanych.

Jak ocenić ryzyko dla osób, których dane dotyczą

Zawiadomienie organu nadzorczego jest wymagane, jeżeli naruszenie może powodować ryzyko dla praw i wolności osób fizycznych. Zgłoszenie nie jest konieczne, jeżeli wystąpienie takiego ryzyka jest mało prawdopodobne.

Przy ocenie uwzględnia się:

• charakter i wrażliwość danych
• możliwość zidentyfikowania konkretnej osoby
• zakres informacji i liczbę osób objętych incydentem
• przewidywane konsekwencje i czas ich trwania
• cechy osób poszkodowanych, w tym ich wiek i podatność na zagrożenia
• zastosowanie szyfrowania i innych środków ograniczających możliwość wykorzystania danych
• tożsamość odbiorcy i prawdopodobieństwo dalszego rozpowszechnienia informacji

Ujawnienie jednego adresu e-mail zaufanemu kontrahentowi oraz opublikowanie bazy zawierającej dane paszportowe, medyczne lub płatnicze powodują różne poziomy ryzyka. Jeżeli omyłkowo wysłany plik został natychmiast usunięty, prawdopodobieństwo wystąpienia szkody może być niższe, jednak okoliczności nadal należy udokumentować.

Szyfrowanie również nie zwalnia automatycznie z przeprowadzenia oceny. Firma ustala, czy klucz był odpowiednio chroniony, czy zastosowany algorytm można obejść oraz czy zachowana została dostępność informacji. Utrata odpowiednio zaszyfrowanego urządzenia może nie powodować ryzyka ujawnienia danych, jednak brak kopii zapasowej może prowadzić do naruszenia ich dostępności.

Co powinno zawierać zawiadomienie organu nadzorczego

W zawiadomieniu opisuje się charakter naruszenia, kategorie i przybliżoną liczbę osób, których dane dotyczą, a także kategorie i przybliżoną liczbę rekordów danych. Firma podaje dane DPO lub innej osoby kontaktowej, prawdopodobne konsekwencje oraz środki zastosowane lub planowane w celu usunięcia naruszenia i ograniczenia szkód.

Organ nadzorczy potrzebuje raportu opartego na faktach. Należy wyjaśnić, których systemów dotyczył incydent, kiedy się rozpoczął i zakończył, jaki dostęp uzyskała osoba nieuprawniona oraz dlaczego firma uznała, że istnieje ryzyko.

Po dokonaniu pierwszego zgłoszenia dochodzenie jest kontynuowane. Firma przekazuje istotne aktualizacje, jeżeli zmienia się zakres danych, liczba osób poszkodowanych lub ocena konsekwencji.

Kiedy należy zawiadomić użytkowników

Firma informuje osoby objęte naruszeniem, jeżeli incydent prawdopodobnie powoduje wysokie ryzyko dla ich praw i wolności. Próg jest tutaj wyższy niż w przypadku zawiadomienia organu nadzorczego. Dlatego organ może otrzymać zgłoszenie, mimo że poinformowanie użytkowników nie będzie wymagane.

Wysokie ryzyko może występować w przypadku ujawnienia haseł, informacji finansowych, dokumentów, danych medycznych lub danych, które mogą zostać wykorzystane do oszustwa, dyskryminacji lub kradzieży tożsamości.

Zawiadomienie powinno być napisane jasnym i zrozumiałym językiem. Należy w nim opisać charakter naruszenia, prawdopodobne konsekwencje, wskazać osobę kontaktową oraz środki, które firma już podjęła. Użytkownikom należy również przekazać konkretne zalecenia dotyczące ochrony, na przykład zmianę hasła, zakończenie aktywnych sesji, włączenie uwierzytelniania wieloskładnikowego lub skontaktowanie się z bankiem.

Indywidualne zawiadomienie może nie być wymagane, jeżeli dane były zabezpieczone środkami, które czynią je niezrozumiałymi dla osób nieuprawnionych, albo firma wyeliminowała prawdopodobieństwo wystąpienia wysokiego ryzyka. Jeżeli indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku, dopuszczalny jest publiczny komunikat lub porównywalny sposób poinformowania. Decyzja powinna być uzasadniona, a organ nadzorczy może zażądać poinformowania osób.

Czy należy dokumentować incydent, jeśli nie dokonano zgłoszenia

Administrator danych ma obowiązek dokumentować wszystkie naruszenia ochrony danych osobowych, w tym również te, których postanowił nie zgłaszać organowi nadzorczemu. W dokumentacji odnotowuje się okoliczności, skutki i podjęte środki. Jeżeli zgłoszenie nie zostało dokonane, należy zachować ocenę ryzyka oraz wyjaśnienie podjętej decyzji. Krótka adnotacja w rodzaju „brak ryzyka” nie jest wystarczająca. Z dokumentu powinno wynikać, jakich danych dotyczył incydent, kto mógł uzyskać do nich dostęp oraz jakie środki zmniejszyły prawdopodobieństwo wystąpienia szkody.

Taki rejestr pomaga wykazać zgodność z GDPR podczas kontroli i identyfikować powtarzające się problemy. Kilka niewielkich incydentów wynikających z takich samych ustawień dostępu może wskazywać na problem systemowy, nawet jeżeli każdy przypadek z osobna nie wymagał zgłoszenia.

Typowe błędy podczas reagowania na naruszenie

Firmy często zaczynają liczyć 72 godziny dopiero po zakończeniu wewnętrznego dochodzenia. Takie podejście może prowadzić do przekroczenia terminu, ponieważ jest on związany z momentem uzyskania wystarczającej pewności co do wystąpienia naruszenia.

Kolejnym błędem jest oczekiwanie na ostateczne dane liczbowe. GDPR pozwala przekazywać informacje etapami, dlatego brak pełnej listy osób poszkodowanych nie uzasadnia opóźnienia pierwszego zgłoszenia.

Problemy pojawiają się również we współpracy z wykonawcami. Podmiot przetwarzający informuje o incydencie po kilku dniach, w DPA brakuje danych kontaktowych i procedury wymiany informacji, a administrator danych nie może szybko ustalić, jakich danych i podwykonawców przetwarzania dotyczy incydent.

Publicznego komunikatu nie można traktować jako automatycznego zamiennika indywidualnego zawiadomienia. Jeżeli firma posiada dane kontaktowe osób i może się z nimi skontaktować bez niewspółmiernie dużego wysiłku, opublikowanie informacji na stronie internetowej może nie być wystarczające.

Jak przygotować się na naruszenie z wyprzedzeniem

Firma powinna posiadać procedurę reagowania, określony podział ról oraz aktualną listę kontaktów. Należy określić, kto może zakwalifikować zdarzenie jako naruszenie ochrony danych osobowych, kto kontaktuje się z podmiotami przetwarzającymi, kto przygotowuje zawiadomienia oraz gdzie prowadzony jest rejestr incydentów.

Wzory zawiadomień i wykaz potrzebnych informacji najlepiej przygotować z wyprzedzeniem. Umowy z podmiotami przetwarzającymi powinny określać praktyczne terminy zgłaszania incydentów oraz obowiązek przekazywania informacji potrzebnych do oceny ryzyka.

Jeżeli dostawca informuje o naruszeniu po upływie 72 godzin lub ogranicza się do stwierdzenia o możliwym incydencie, administrator danych nie będzie w stanie terminowo wykonać własnych obowiązków.