zgłoszenie naruszenia do UODO

Zgłoszenie naruszenia do UODO jest obowiązkowe, gdy incydent stwarza ryzyko dla praw osób, których dane dotyczą.

Kiedy naruszenie podlega zgłoszeniu

Zgłoszenie naruszenia do UODO dotyczy sytuacji, w której doszło do naruszenia ochrony danych osobowych, a zdarzenie może powodować ryzyko dla praw lub wolności osób fizycznych. Naruszeniem może być nie tylko włamanie do systemu. Do tej kategorii zalicza się również przypadkowe lub bezprawne zniszczenie, utratę, zmianę, nieuprawnione ujawnienie albo nieuprawniony dostęp do danych. Przykładem technicznym może być wysłanie pliku z danymi do niewłaściwego odbiorcy, utrata niezaszyfrowanego laptopa, przejęcie konta pocztowego albo udostępnienie katalogu sieciowego bez właściwych uprawnień.

Sam fakt wystąpienia incydentu nie oznacza jeszcze automatycznie, że zawsze trzeba przesłać zgłoszenie do organu nadzorczego. Administrator powinien ocenić prawdopodobieństwo i wagę możliwych skutków dla osób, których dane dotyczą. Analizie podlegają między innymi rodzaj danych, liczba osób, zakres naruszenia, łatwość identyfikacji tych osób, możliwość wykorzystania danych oraz okoliczności i czas trwania incydentu. Jeżeli ryzyko jest mało prawdopodobne, zgłoszenie może nie być wymagane, ale przeprowadzoną ocenę oraz przyjęte uzasadnienie należy udokumentować.

Ocena ryzyka po incydencie informatycznym

W praktyce ocena rozpoczyna się od zabezpieczenia śladów zdarzenia i ustalenia jego zakresu. Należy określić, jakie systemy, urządzenia, konta lub nośniki zostały objęte incydentem, jakie dane znajdowały się w zasięgu nieuprawnionego dostępu oraz czy dane zostały odczytane, skopiowane, zmienione lub usunięte. Pomocne mogą być logi uwierzytelniania, historia dostępu do plików, zapisy zapory sieciowej, alerty systemu antywirusowego, informacje z kopii zapasowych oraz chronologia działań administratorów. Sam komunikat o wykryciu złośliwego oprogramowania nie przesądza jeszcze, jakie dane faktycznie zostały ujawnione.

Znaczenie ma również zastosowane zabezpieczenie. Jeżeli utracony nośnik był prawidłowo zaszyfrowany, a klucze nie zostały ujawnione, prawdopodobieństwo wykorzystania zapisanych danych może być inne niż w przypadku dysku pozbawionego ochrony kryptograficznej. Podobnie należy odróżnić chwilową niedostępność systemu od utraty danych, ich nieodwracalnego usunięcia albo ujawnienia osobie nieuprawnionej. W dokumentacji warto rozdzielić potwierdzone fakty, ustalenia prawdopodobne oraz informacje, których nie udało się jeszcze zweryfikować.

Termin, treść i uzupełnianie zgłoszenia

Jeżeli analiza wskazuje na ryzyko dla praw lub wolności osób fizycznych, administrator powinien zgłosić naruszenie właściwemu organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia. Termin odnosi się do momentu, w którym administrator uzyskał wystarczającą świadomość, że doszło do zdarzenia dotyczącego danych osobowych, a niekoniecznie do chwili ustalenia wszystkich szczegółów. Jeżeli zgłoszenie zostanie przekazane po upływie 72 godzin, należy wyjaśnić przyczynę opóźnienia.

Zgłoszenie powinno opisywać charakter naruszenia, możliwe konsekwencje, kategorie i przybliżoną liczbę osób oraz rekordów, jeżeli można je ustalić. Należy także wskazać dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego oraz opisać środki zastosowane albo planowane w celu ograniczenia skutków incydentu. Gdy w chwili zgłoszenia nie są znane wszystkie informacje, zgłoszenie może zostać przekazane etapami. Późniejsze ustalenia, takie jak wynik analizy logów, potwierdzony zakres wycieku lub zastosowane działania naprawcze, powinny zostać uzupełnione.

Działania techniczne i dokumentacja po zgłoszeniu

Przed wysłaniem lub równolegle ze zgłoszeniem należy ograniczyć trwanie incydentu i zabezpieczyć dowody. Może to oznaczać odcięcie przejętego konta, unieważnienie aktywnych sesji, zmianę danych uwierzytelniających, izolację zainfekowanego urządzenia, blokadę błędnie skonfigurowanego udziału sieciowego oraz weryfikację kopii zapasowych. Działania nie powinny niszczyć informacji potrzebnych do ustalenia przyczyny zdarzenia. W systemach informatycznych warto zachować kopie logów wraz z informacją o czasie ich pozyskania, źródle oraz osobie wykonującej czynność.

Każde naruszenie należy ująć w wewnętrznej ewidencji, także wtedy, gdy po analizie uznano, że zgłoszenie do UODO nie jest konieczne. Ewidencja powinna pozwalać odtworzyć przebieg zdarzenia, ocenę ryzyka, decyzję administratora i zastosowane środki zapobiegawcze. Jeżeli ryzyko dla osób jest wysokie, mogą powstać także dodatkowe obowiązki komunikacyjne wobec osób, których dane dotyczą. Od strony technicznej warto następnie sprawdzić konfigurację uprawnień, politykę haseł, wieloskładnikowe uwierzytelnianie, szyfrowanie urządzeń, retencję logów i procedury reagowania, aby podobny błąd nie powtórzył się w innym systemie.