Kogo informujemy o naruszeniu danych osobowych?

Kogo informujemy o naruszeniu danych osobowych? Organ i poszkodowani

Zrozumienie, kogo informujemy o naruszeniu danych osobowych, chroni organizację przed poważnymi konsekwencjami prawnymi. Właściwa reakcja na incydent bezpieczeństwa pozwala uniknąć kar finansowych oraz utraty zaufania klientów. Poznaj kluczowe kryteria i procedury, aby skutecznie dopełnić wszystkich formalności i zabezpieczyć interesy firmy.

Kogo informujemy o naruszeniu danych osobowych?

W przypadku wystąpienia incydentu bezpieczeństwa, kluczowe jest precyzyjne ustalenie, kogo informujemy o naruszeniu danych osobowych (2, 1.2.10). Decyzja ta zależy bezpośrednio od skali ryzyka naruszenia praw i wolności osób, których dane dotyczą, a głównym adresatem zgłoszenia jest organ nadzorczy lub bezpośrednio poszkodowane osoby fizyczne (2, 1.1.7, 1.2.10). Istnieje jednak kilka ścieżek postępowania, a cały proces zależy od tego, jak głęboki i groźny okazał się wyciek.

Pamiętam sytuację sprzed roku, gdy w mojej firmie kurierskiej o północy wykryliśmy, że baza danych klientów z jednego z regionów była dostępna bez hasła. Moje serce na moment zamarło, a ręce drżały, gdy odpalałem systemy logowania, by sprawdzić, kto zdążył pobrać pliki. Pierwsza, naiwna myśl? Może nikt nie zauważy, zabezpieczmy serwer i po sprawie. Szybko jednak zrozumiałem, że ukrywanie problemu to prosta droga do katastrofy finansowej i wizerunkowej. Spędziliśmy całą noc z prawnikiem, analizując, do kogo musimy wysłać powiadomienia, a presja upływających godzin była paraliżująca.

Większość incydentów, bo aż 22.435 zgłoszeń w skali roku, trafia bezpośrednio na biurko urzędników państwowych. ^[1] Co ciekawe, w skali kraju zaledwie 33% przypadków naruszeń skutkuje ostatecznie poinformowaniem osób poszkodowanych, co pokazuje, że administratorzy starannie ważą ryzyko przed podjęciem tak drastycznego kroku. Ale o tym, kiedy dokładnie pisać do klientów, a kiedy do urzędu, decydują sztywne kryteria.

Zgłoszenie do Prezesa Urzędu Ochrony Danych Osobowych

Prezes Urzędu Ochrony Danych Osobowych to centralny organ, do którego administrator danych zgłasza incydent, o ile istnieje ryzyko naruszenia praw lub wolności osób fizycznych (2, 1.2.10). Dokumentację wysyła się za pośrednictwem platformy elektronicznej ePUAP lub specjalnego formularza na biznesowej stronie rządowej. Informacja musi zawierać opis charakteru naruszenia, kategorie danych, liczbę osób poszkodowanych oraz planowane środki zaradcze.

Zgodnie z przepisami, na zgłoszenie incydentu do organu nadzorczego mamy dokładnie 72 godziny od momentu jego stwierdzenia (2, 1.2.10). Czas płynie nieubłaganie. Liczba zgłoszeń drastycznie rośnie - w minionym roku odnotowano 22.435 naruszeń zgłoszonych oficjalnie, co stanowi potężny skok o ponad 51% w porównaniu do roku poprzedniego, kiedy to wpłynęło 14.842 zgłoszeń. Ten napływ danych pokazuje, że organy państwowe bezwzględnie egzekwują obowiązek informacyjny i nie ma tu miejsca na zwłokę.

Co się stanie, jeśli przegapisz ten termin? Przekonaliśmy się o tym podczas wdrażania nowego systemu u jednego z naszych kontrahentów - spóźnienie o zaledwie dwa dni wywołało natychmiastowe wszczęcie procedury wyjaśniającej. Urząd nie patrzy przychylnie na tłumaczenia o weekendzie czy chorobie pracownika. Jeśli nie zmieścisz się w czasie, musisz dołączyć szczegółowe, racjonalne wyjaśnienie przyczyn opóźnienia, inaczej ryzykujesz dotkliwe kary finansowe.

Powiadamianie osób, których dane dotyczą

Osoby fizyczne, czyli Twoich klientów, pracowników lub użytkowników, informujesz bezpośrednio wtedy, gdy naruszenie ochrony danych może powodować wysokie ryzyko dla ich praw lub wolności (2, 1.2.12). Oznacza to sytuacje, w których wyciekły wrażliwe informacje, takie jak numery PESEL, dane dowodów osobistych, numery kart płatniczych czy historia medyczna. Celem takiego komunikatu jest umożliwienie ludziom podjęcia natychmiastowych działań obronnych, np. zastrzeżenia dowodu czy założenia alertu kredytowego.

Wiadomość musi być sformułowana jasnym, prostym i zrozumiałym językiem, unikając skomplikowanego żargonu prawnego. Należy przesłać ją bezpośrednio drogą mailową, SMS-ową lub tradycyjną pocztą. Analizując praktykę rynkową, tylko w 33% incydentów administratorzy decydują się na otwarcie tej kurtyny przed poszkodowanymi, podczas gdy w 67% przypadków uznają, że ryzyko nie osiągnęło krytycznego poziomu i poprzestają na zgłoszeniu do urzędu lub wpisie w wewnętrznym rejestrze.

Pamiętam przygotowywanie takiego pisma do naszych klientów. Doradcy mówili: napisz to okrągłymi słowami, żeby nikt się nie połapał. To fatalny błąd. W rzeczywistości ukrywanie prawdy budzi wściekłość. Napisaliśmy wprost: wyciekły numery telefonów, bardzo przepraszamy, oto co robimy, by to naprawić i jak możecie się zabezpieczyć przed phishingiem. Efekt? Zamiast fali pozwów, klienci docenili naszą transparentność.

Rola podmiotu przetwarzającego a obowiązki administratora

Podmiot przetwarzający, czyli zewnętrzny procesor (np. firma hostingowa, biuro rachunkowe czy agencja marketingowa), nie zgłasza naruszenia do urzędu ani do osób poszkodowanych (2). Jego jedynym i bezwzględnym obowiązkiem jest poinformowanie o incydencie właściwego administratora danych (2). Zgłoszenie to musi nastąpić natychmiast, bez zbędnej zwłoki, zaraz po wykryciu nieprawidłowości w systemach.

To na administratorze spoczywa cała odpowiedzialność prawna i to on podejmuje ostateczną decyzję o dalszych krokach (2). Często dochodzi tu do konfliktów. W mojej karierze spotkałem dostawcę oprogramowania, który przez pięć dni ukrywał przed nami awarię serwera, próbując samodzielnie załatać dziurę. Gdy sprawa wyszła na jaw, ich opóźnienie uderzyło rykoszetem w naszą spółkę, skracając nasz czas na reakcję do zera. Dlatego tak ważne jest posiadanie precyzyjnych umów powierzenia przetwarzania danych osobowych.

Gdzie i kiedy zgłosić naruszenie danych osobowych?

Wybór adresata powiadomienia zależy od zdefiniowanego poziomu ryzyka dla praw i wolności osób fizycznych, których dane zostały naruszone.

Prezes Urzędu Ochrony Danych Osobowych

- Dowolne ryzyko naruszenia praw lub wolności osób fizycznych (od niskiego po wysokie)

- Maksymalnie 72 godziny od momentu stwierdzenia incydentu przez administratora

- Elektroniczny formularz za pośrednictwem platformy ePUAP lub portalu biznesowego

Osoby poszkodowane (klienci, pracownicy)

- Wyłącznie wysokie ryzyko naruszenia praw lub wolności (np. wyciek PESEL, danych medycznych)

- Bez zbędnej zwłoki, niezwłocznie po zidentyfikowaniu skali i zagrożeń incydentu

- Indywidualne wiadomości e-mail, SMS, list polecony lub otwarty komunikat na stronie

Wewnętrzny rejestr naruszeń (Brak zgłoszenia zewnętrznego)

- Brak jakiegokolwiek ryzyka dla praw i wolności osób fizycznych (np. zaszyfrowany pendrive)

- Niezwłoczna dokumentacja wewnętrzna, bez informowania podmiotów zewnętrznych

- Wpis do prowadzonego przez administratora wewnętrznego rejestru incydentów

Wyciek danych w lokalnej firmie usługowej: Analiza kryzysowa

Jan, właściciel średniej wielkości agencji nieruchomości z Poznania, w listopadzie ubiegłego roku zmierzył się z atakiem na skrzynki e-mail swoich agentów. Złośliwe oprogramowanie pozwoliło na skopiowanie umów przedwstępnych zawierających pełne numery PESEL, adresy oraz numery dowodów osobistych klientów.

Pierwszym odruchem Jana było zatrudnienie znajomego informatyka, który zmienił hasła i zabezpieczył serwer, sugerując, by nie nagłaśniać sprawy w obawie przed utratą reputacji. Jan posłuchał tej porady, co okazało się koszmarnym błędem, gdyż po kilku dniach jeden z klientów otrzymał próbę wyłudzenia pożyczki i zgłosił sprawę na policję.

W tym momencie nastąpił przełom: Jan zrozumiał, że ucieczka przed odpowiedzialnością tylko potęguje zagrożenie. Zamiast milczeć, skonsultował się ze specjalistą od ochrony danych, który natychmiast nakazał przeprowadzenie pełnej procedury zgłoszeniowej.

Firma wysłała oficjalne zawiadomienie do urzędu, a także powiadomiła indywidualnie 420 poszkodowanych osób, oferując im bezpłatne wsparcie w założeniu alertów kredytowych. Choć cała procedura kosztowała mnóstwo stresu i 12 dni intensywnej pracy kryzysowej, Jan uniknął maksymalnych sankcji finansowych i utrzymał zaufanie ponad połowy swoich stałych kontrahentów.