brak zgłoszenia naruszenia do UODO

Brak zgłoszenia naruszenia do UODO to naruszenie obowiązku poinformowania organu nadzorczego o incydencie w wymaganym terminie.

Brak zgłoszenia naruszenia do UODO – czym jest to uchybienie

Brak zgłoszenia naruszenia do UODO oznacza sytuację, w której administrator danych osobowych nie przekazuje Prezesowi Urzędu Ochrony Danych Osobowych informacji o incydencie, mimo że okoliczności zdarzenia wskazują na obowiązek zawiadomienia organu nadzorczego. Chodzi przede wszystkim o przypadki utraty, zniszczenia, nieuprawnionego ujawnienia, zmiany albo dostępu do danych osobowych. Naruszenie może powstać zarówno wskutek działania człowieka, jak i awarii, błędu konfiguracji, zagubienia nośnika lub przejęcia konta.

Sam fakt, że nie doszło do potwierdzonego wykorzystania danych przez osobę nieuprawnioną, nie przesądza jeszcze o braku obowiązku zgłoszenia. Ocena powinna obejmować prawdopodobieństwo wystąpienia negatywnych skutków dla osób, których dane dotyczą, oraz możliwą skalę tych skutków. Należy przeanalizować rodzaj danych, liczbę osób, zakres ujawnienia, łatwość identyfikacji osób, czas trwania incydentu i możliwość ograniczenia konsekwencji.

W praktyce decyzja nie powinna opierać się wyłącznie na intuicji ani na stwierdzeniu, że system szybko przywrócono do działania. Przywrócenie dostępności zasobów nie usuwa faktu, że dane mogły zostać skopiowane, odczytane albo wysłane do niewłaściwego odbiorcy. Istotne jest także udokumentowanie powodów, dla których uznano, że zgłoszenie nie jest wymagane. Brak takiej analizy może zostać oceniony jako osobne zaniedbanie organizacyjne.

Brak zgłoszenia naruszenia do UODO a kontekst techniczny i porównania

Wymóg analizy incydentu różni się od zwykłego zgłoszenia awarii sprzętu lub przerwy w działaniu programu. Awaria może dotyczyć wyłącznie dostępności urządzenia, natomiast naruszenie ochrony danych odnosi się do poufności, integralności albo dostępności danych osobowych. Uszkodzony dysk, błędnie działający system kopii zapasowych lub niedostępny komputer mogą więc stać się elementem zdarzenia podlegającego ocenie pod kątem ochrony danych, nawet gdy początkowo wyglądają na typowy problem techniczny.

Warto odróżnić kilka podobnych sytuacji. Incydent bezpieczeństwa to szerokie pojęcie obejmujące zdarzenia zagrażające systemom, urządzeniom lub informacjom. Naruszenie ochrony danych osobowych jest węższe, ponieważ dotyczy danych pozwalających na identyfikację osoby albo powiązanych z możliwą do ustalenia osobą. Z kolei zgłoszenie do UODO jest formalnym działaniem podejmowanym po przeprowadzeniu oceny ryzyka. Nie każde zdarzenie techniczne wymaga wysłania zawiadomienia, lecz każde powinno zostać sprawdzone według spójnych kryteriów.

Inaczej może być ocenione przypadkowe wysłanie wiadomości do jednego niewłaściwego adresata, a inaczej utrata niezaszyfrowanego nośnika zawierającego obszerną dokumentację. Znaczenie ma nie tylko liczba rekordów. Dane dotyczące zdrowia, sytuacji finansowej, dokumentów tożsamości, dzieci, postępowań lub innych szczególnie wrażliwych okoliczności mogą powodować większe ryzyko niż dane o ograniczonym znaczeniu. Przy porównywaniu przypadków należy uwzględnić także zabezpieczenia, na przykład szyfrowanie, silne uwierzytelnianie i możliwość zdalnego unieważnienia dostępu.

Termin na przekazanie zgłoszenia powinien być liczony od momentu uzyskania wiedzy o naruszeniu, a nie dopiero od zakończenia wszystkich czynności naprawczych. Jeżeli pełne dane nie są jeszcze dostępne, zgłoszenie może wymagać uzupełnienia. Oczekiwanie na całkowite wyjaśnienie przyczyn, zakończenie naprawy albo uzyskanie wszystkich logów może doprowadzić do nieuzasadnionego opóźnienia.

Brak zgłoszenia naruszenia do UODO – typowe problemy i błędne założenia

Jednym z częstych problemów jest brak wyznaczonej osoby odpowiedzialnej za przyjmowanie informacji o incydentach. Pracownik może zauważyć nietypowe logowanie, omyłkowo przekazać plik albo zgubić urządzenie, ale informacja nie trafia do osoby dokonującej oceny prawnej. Zdarzenie pozostaje wtedy opisane wyłącznie jako problem operacyjny. Prawidłowa procedura powinna wskazywać, komu przekazać sygnał, jakie informacje zebrać i w jakim trybie uruchomić analizę.

Innym błędem jest utożsamianie braku dowodu szkody z brakiem ryzyka. Nie zawsze da się ustalić, czy ktoś otworzył dokument, skopiował bazę albo wykorzystał ujawnione dane. Ocena powinna opierać się na dostępnych faktach i racjonalnym oszacowaniu prawdopodobieństwa, a nie na założeniu, że skoro nie pojawiła się skarga, to zdarzenie nie miało znaczenia.

Problematyczne bywa również poleganie na ogólnych komunikatach dostawcy o bezpieczeństwie. Informacja o awarii usługi, podatności albo nieautoryzowanym dostępie może być punktem wyjścia, lecz administrator powinien ustalić, jakie dane znajdowały się w dotkniętym środowisku, przez jaki czas mogły być dostępne i czy zastosowane zabezpieczenia ograniczały ryzyko. Nie wystarcza samo przekazanie komunikatu bez odniesienia do własnych zasobów i procesów.

Niedostateczna dokumentacja stanowi kolejny istotny problem. Powinna zostać utrwalona data wykrycia, źródło informacji, opis zdarzenia, kategorie danych, możliwe konsekwencje, podjęte działania, uzasadnienie decyzji dotyczącej zgłoszenia oraz osoby uczestniczące w analizie. Warto zapisać także informacje, których nie udało się ustalić, wraz z przyczyną takiego stanu. Taki zapis ułatwia późniejszą kontrolę i pozwala wykazać, że decyzja nie została podjęta przypadkowo.

Opóźnienie może wynikać także z niewłaściwej kolejności działań. Najpierw powinno się ograniczyć dalszy dostęp i zabezpieczyć dowody, a równolegle rozpocząć ocenę obowiązku zawiadomienia. Nie powinno się usuwać logów, resetować urządzeń bez zachowania kopii ani nadpisywać danych potrzebnych do ustalenia przebiegu zdarzenia. Działania naprawcze i analiza formalna mogą być prowadzone jednocześnie.

Brak zgłoszenia naruszenia do UODO – praktyczne wskazówki postępowania

Po uzyskaniu informacji o możliwym incydencie należy utworzyć krótką kartę zdarzenia. W pierwszej kolejności zapisuje się czas wykrycia, osobę zgłaszającą, urządzenie lub usługę, której dotyczy problem, oraz zwięzły opis obserwacji. Następnie ustala się, czy zdarzenie dotyczy danych osobowych, jakie kategorie osób i informacji mogły zostać objęte incydentem oraz czy dostęp uzyskał ktoś nieuprawniony.

W dalszej części analizy przydatne jest rozdzielenie trzech obszarów: poufności, integralności i dostępności. Naruszenie poufności może polegać na ujawnieniu pliku niewłaściwemu odbiorcy. Naruszenie integralności może oznaczać nieuprawnioną zmianę danych. Naruszenie dostępności może wynikać z utraty dostępu do informacji, ich zniszczenia lub zablokowania. Jedno zdarzenie może dotyczyć kilku obszarów równocześnie.

Należy zebrać informacje o zastosowanych zabezpieczeniach. Znaczenie może mieć szyfrowanie całego nośnika, szyfrowanie pojedynczego pliku, aktualność kopii zapasowych, sposób zarządzania hasłami, ograniczenie uprawnień, rejestr aktywności oraz możliwość odcięcia konta. Nie należy jednak traktować samego hasła lub ogólnego stwierdzenia o zabezpieczeniu jako dowodu, że ryzyko było znikome. Liczy się faktyczny poziom ochrony w chwili zdarzenia.

W razie potrzeby trzeba odizolować urządzenie, zmienić dane uwierzytelniające, zablokować konto, odłączyć niebezpieczne połączenie albo przywrócić działanie z bezpiecznej kopii. Każda czynność powinna zostać opisana wraz z datą i osobą wykonującą. Ułatwia to odtworzenie przebiegu zdarzenia oraz sprawdzenie, czy nie doszło do kolejnych zmian w danych.

Jeżeli analiza wskazuje na obowiązek zawiadomienia, zgłoszenie powinno zawierać informacje wymagane przez przepisy i dostępny formularz, w tym opis charakteru naruszenia, możliwe konsekwencje oraz zastosowane lub planowane środki zaradcze. Jeśli nie wszystkie informacje są znane, należy wskazać stan ustaleń i zaplanować uzupełnienie. Gdy uznano, że zgłoszenie nie jest konieczne, trzeba zachować uzasadnienie tej decyzji wraz z materiałami źródłowymi.

Przy problemach z komputerem lub nośnikiem danych warto ograniczyć samodzielne eksperymenty, szczególnie gdy mogłyby zniszczyć ślady zdarzenia. W kontekście technicznej obsługi urządzeń pomoc może zostać zorganizowana przez Warszawskie Pogotowie Komputerowe 24/7, przy czym ocena obowiązków administratora i decyzja o zgłoszeniu pozostają elementem odpowiedzialności podmiotu przetwarzającego dane.

Kiedy brak zgłoszenia naruszenia do UODO wymaga pilnej reakcji

Pilna reakcja jest potrzebna wtedy, gdy incydent dotyczy danych umożliwiających przejęcie tożsamości, uzyskanie dostępu do kont, ujawnienie informacji o zdrowiu albo poznanie szczegółów prywatnego życia. Szczególnej uwagi wymagają także dane dużej grupy osób, informacje osób małoletnich, dokumenty zawierające wiele identyfikatorów oraz sytuacje, w których nie można wykluczyć dalszego rozpowszechniania danych.

Nie należy zwlekać również wtedy, gdy zdarzenie trwa, dostęp osoby nieuprawnionej nie został odcięty, kopie danych mogły zostać wykonane albo nie ma pewności, czy przywrócenie systemu nie usunęło ważnych dowodów. W takich okolicznościach równocześnie zabezpiecza się środowisko, ustala zakres naruszenia i przygotowuje ocenę ryzyka. Sama naprawa urządzenia nie zamyka sprawy.

Warto skonsultować zdarzenie, gdy nie jest jasne, czy informacja dotyczy danych osobowych, kto jest administratorem, kiedy rozpoczął się bieg terminu albo jak udokumentować decyzję o braku zgłoszenia. Pomoc techniczna może ułatwić odzyskanie danych, analizę nośnika i zabezpieczenie materiału, ale nie zastępuje analizy zgodności z przepisami. W przypadku poważnego incydentu zasadne może być także skorzystanie z konsultacji osoby zajmującej się ochroną danych.

Najważniejsze jest, aby nie pozostawiać zdarzenia bez śladu. Nawet jeżeli po ocenie uznano, że zawiadomienie nie jest wymagane, należy zachować opis faktów, przeprowadzone rozumowanie i zastosowane środki. Brak zgłoszenia może być zgodny z obowiązkami tylko wtedy, gdy wynika z udokumentowanej oceny, a nie z przeoczenia, braku procedury albo przekonania, że niewielka awaria nie może mieć związku z ochroną danych.