Procedura naruszenia ochrony danych powinna określać, kto przyjmuje sygnał, kto ogranicza skutki zdarzenia, kto ocenia ryzyko dla ludzi i kto podejmuje decyzje o zgłoszeniu oraz zawiadomieniu osób. Sam dokument nie zastępuje działania. Pracownik musi wiedzieć, jak szybko przekazać informację, a zespół reagujący powinien mieć dostęp do osób, systemów i dowodów potrzebnych do oceny sytuacji.
Poniższy wzór obejmuje wewnętrzny obieg informacji i rejestr naruszeń. Trzeba go dostosować do organizacji, jej godzin pracy, dostawców i rodzajów danych. Szczegółowe przesłanki zgłoszenia omawia przewodnik po art. 33 RODO. Tutaj najważniejsze jest połączenie tych obowiązków w działającą procedurę, bez oczekiwania na upływ kolejnych umownych etapów czasowych.
Jakie zdarzenia obejmuje procedura?
Naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia albo dostępu do danych osobowych. Nie musi wynikać z ataku z zewnątrz. Może je spowodować błędny adresat wiadomości, niewłaściwe uprawnienia, utrata dokumentów lub pomyłka podczas zmiany systemu.
Rozróżniaj poufność, integralność i dostępność. Ujawnienie listy klientów dotyczy poufności. Nieuprawniona zmiana numerów rachunków wpływa na integralność. Utrata dostępu do potrzebnych danych może naruszać dostępność. To ostatnie naruszenie nie musi być trwałe: również czasowa niedostępność spowodowana incydentem bezpieczeństwa wymaga oceny. Zaplanowane prace serwisowe nie stają się jednak automatycznie naruszeniem w rozumieniu art. 4 pkt 12 RODO.
Procedura zgłaszania wewnętrznego może obejmować także podejrzenia i nieudane próby ataku. Pracownik nie powinien sam rozstrzygać, czy zdarzenie spełnia wszystkie warunki ustawowej definicji. Zespół ocenia następnie, czy doszło do naruszenia danych, innego incydentu bezpieczeństwa czy fałszywego alarmu. Dzięki temu nie wymaga się od osoby zgłaszającej specjalistycznej kwalifikacji prawnej w chwili zauważenia problemu.
Trzy obowiązki, których nie można utożsamiać
Administrator dokumentuje każde naruszenie ochrony danych na podstawie art. 33 ust. 5, również takie, którego nie zgłasza organowi. Dokumentacja obejmuje okoliczności, skutki i podjęte działania zaradcze oraz powinna umożliwiać weryfikację przestrzegania przepisów. Samo zdanie „brak obowiązku zgłoszenia” bez wyjaśnienia oceny nie jest użytecznym zapisem decyzji.
Zgłoszenie właściwemu organowi następuje bez zbędnej zwłoki i, w miarę możliwości, nie później niż 72 godziny po stwierdzeniu naruszenia. Wyjątek dotyczy sytuacji, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Nie należy podnosić tej przesłanki do poziomu wysokiego ryzyka ani uzależniać zgłoszenia od tego, czy ktoś już poniósł szkodę.
Zawiadomienie osób jest odrębnym obowiązkiem z art. 34. Powstaje, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności, z uwzględnieniem przewidzianych wyjątków. Osoby zawiadamia się bez zbędnej zwłoki; przepis nie ustanawia dla tego działania osobnego ogólnego terminu 72 godzin. W pilnej sytuacji informacje umożliwiające ochronę przed zagrożeniem mogą być potrzebne znacznie wcześniej.
Ustal role i zastępstwa przed zdarzeniem
Wyznacz odbiorcę zgłoszeń wewnętrznych oraz osobę koordynującą reakcję. Określ, kto może zablokować konto, odłączyć zagrożony zasób, skontaktować się z dostawcą i zabezpieczyć dowody. Uprawnienia techniczne powinny odpowiadać rzeczywistym zadaniom. Procedura nie może zakładać, że osoba prowadząca rejestr ma jednocześnie dostęp administracyjny do wszystkich systemów.
Decyzje należą do administratora działającego przez właściwie upoważnione osoby. Inspektor ochrony danych może doradzać, monitorować zgodność i wspierać ocenę, lecz powołanie IOD nie przenosi na niego odpowiedzialności administratora. W przewodniku o roli inspektora ochrony danych wyjaśniamy to rozróżnienie. W procedurze wskaż także zastępstwo na wypadek nieobecności osoby zwykle podejmującej decyzję.
Ustal sposób działania poza zwykłymi godzinami pracy. Nie każda organizacja potrzebuje identycznego dyżuru, ale przyjęty model musi umożliwiać wykonanie obowiązków bez zbędnej zwłoki. Wiadomość wysłana w piątek do skrzynki sprawdzanej dopiero w poniedziałek może ujawnić istotną lukę. Zweryfikuj też, czy numery kontaktowe i uprawnienia do przesłania zgłoszenia są rzeczywiście dostępne dla zastępcy.
Wzór procedury do dostosowania
Poniższy tekst jest szkieletem wewnętrznej procedury. Uzupełnij pola nazwami ról i kanałów oraz sprawdź, czy wskazane działania są wykonalne. Nie wpisuj terminów wewnętrznych, które sugerują prawo do bezczynności przed rozpoczęciem oceny ryzyka. Ograniczanie skutków, ustalanie faktów i ocena obowiązków często muszą przebiegać równolegle.
PROCEDURA REAGOWANIA NA NARUSZENIA OCHRONY DANYCH
Właściciel dokumentu: [rola] Wersja i data: [dane]
Zakres: [organizacja, procesy, systemy, dostawcy]
1. Każdy, kto zauważy możliwe naruszenie, przekazuje niezwłocznie
dostępne informacje przez [kanał]; kanał zastępczy: [dane].
2. Odbiorca rejestruje zgłoszenie, zabezpiecza informację o czasie
i przekazuje ją koordynatorowi [rola/zastępca].
3. Uprawniony zespół ogranicza skutki i zabezpiecza dowody.
Równolegle ustala, czy naruszono dane osobowe i jakie ryzyko powstało.
4. Koordynator dokumentuje czas zdarzenia, wykrycia i stwierdzenia
naruszenia oraz przyczyny ewentualnych różnic między tymi momentami.
5. Administrator, przez [upoważniona rola], podejmuje i dokumentuje
decyzje o zgłoszeniu organowi oraz zawiadomieniu osób.
6. Zgłoszenie organowi: bez zbędnej zwłoki, w miarę możliwości
do 72 godzin od stwierdzenia, chyba że ryzyko jest mało prawdopodobne.
Późniejsze zgłoszenie zawiera wyjaśnienie opóźnienia.
7. Jeśli prawdopodobne jest wysokie ryzyko, osoby otrzymują informację
bez zbędnej zwłoki, chyba że stosuje się udokumentowany wyjątek art. 34.
8. Brakujące informacje przekazuje się etapami bez dalszej zbędnej zwłoki.
9. Każde naruszenie danych dokumentuje się zgodnie z art. 33 ust. 5.
10. Zamknięcie obejmuje kontrolę działań naprawczych i potrzebę aktualizacji
zgłoszeń, komunikacji, umów oraz dokumentacji przetwarzania.
Szkielet wymaga dopisania lokalnej ścieżki eskalacji i zasad współpracy z dostawcami. Można połączyć go z szerszym planem reagowania na incydenty, ale obowiązki dotyczące danych osobowych muszą pozostać widoczne. Zgłoszenie awarii do helpdesku, zawiadomienie policji czy poinformowanie ubezpieczyciela nie zastępują odpowiednich działań wynikających z RODO.
Pierwsze działania: ogranicz skutki i zachowaj dowody
Na początku ustal, czy zdarzenie nadal trwa. Jeśli uprawniona osoba może bezpiecznie odebrać zbędne uprawnienia, zablokować przejęte konto lub zatrzymać błędne wysyłanie danych, nie powinna czekać na ukończenie całego raportu. Jednocześnie trzeba zadbać o informacje potrzebne do wyjaśnienia sytuacji. Nieprzemyślane usunięcie konta lub reinstalacja urządzenia może utrudnić późniejszą analizę.
Zabezpieczaj dowody w kontrolowany sposób. Zapisz pochodzenie logów, moment ich pobrania i osoby mające dostęp. Nie rozpowszechniaj pełnych baz klientów w załącznikach do wiadomości zespołu reagującego. Czasem wystarczy opis zakresu, bezpiecznie przechowywany plik dowodowy i ograniczone uprawnienia. Praca nad incydentem sama nie powinna tworzyć kolejnego zbędnego ujawnienia danych.
Oddziel fakty od hipotez. Informacja „konto mogło zostać przejęte” nie jest tożsama ze stwierdzeniem „pobrano całą bazę”. Z drugiej strony brak widocznego pobrania nie dowodzi bezpieczeństwa, jeśli system nie prowadzi odpowiednich logów. W raporcie wskaż, czego jeszcze nie wiadomo, jakie działania wyjaśniające są prowadzone i kto odpowiada za dostarczenie wyniku.
Jak ustalić moment stwierdzenia naruszenia?
Nie licz automatycznie 72 godzin od czasu zakończenia ataku ani od posiedzenia zarządu. Punktem odniesienia jest stwierdzenie naruszenia przez administratora. Wytyczne EROD 9/2022 w ostatecznej wersji wiążą ten moment z uzyskaniem rozsądnego stopnia pewności, że wystąpił incydent bezpieczeństwa dotyczący danych osobowych. Szczegóły mogą być nadal wyjaśniane.
Krótka wstępna analiza może być potrzebna, aby potwierdzić, czy alarm rzeczywiście dotyczy danych. Powinna rozpocząć się możliwie szybko. Nie wolno dowolnie przedłużać tej fazy tylko po to, by przesunąć początek terminu. Jeśli odbiorca przedstawia dowód omyłkowego otrzymania dokumentów konkretnej osoby, organizacja nie może uznać, że niczego jeszcze nie stwierdziła, ponieważ nie policzono wszystkich stron.
Zapisuj daty, godziny i istotne ustalenia w jednej osi czasu. Jeżeli zdarzenie ujawniono po dłuższym okresie, wyjaśnij różnicę między czasem jego wystąpienia a czasem stwierdzenia. Termin obejmuje również weekendy; nie jest terminem 72 godzin roboczych. Opóźnione zgłoszenie wymaga podania przyczyn opóźnienia, a przekroczenie terminu nie usuwa obowiązku zgłoszenia.
Oceń ryzyko od początku, a nie po dobie
Nie stosuj schematu, w którym pierwsze 24 godziny przeznacza się wyłącznie na działania techniczne, a ocenę ryzyka rozpoczyna dopiero później. Wstępne zagrożenia dla ludzi mogą wymagać natychmiastowych działań. Ocena rozwija się razem z ustaleniami, a zespół techniczny i osoby odpowiedzialne za ochronę danych powinny wymieniać informacje od początku.
Weź pod uwagę rodzaj danych, możliwość identyfikacji osób, ich sytuację, skalę zdarzenia oraz możliwe następstwa. Ujawnienie informacji o zdrowiu, zadłużeniu lub korzystaniu z określonej formy pomocy może prowadzić do różnych szkód. Również pojedyncza osoba może być narażona na poważne konsekwencje. Liczba rekordów nie powinna być jedynym kryterium decyzji.
Sprawdź, czy utrata dostępności lub zmiana danych mogła wpłynąć na decyzje dotyczące ludzi. Szybkie przywrócenie kopii zapasowej ogranicza skutki, ale nie wyklucza wcześniejszego ujawnienia albo błędnych działań podjętych podczas awarii. Zaszyfrowanie utraconego urządzenia zmniejsza ryzyko odczytu tylko przy rzeczywiście skutecznej ochronie; trzeba osobno ocenić klucze, sesje i możliwość odtworzenia danych.
Nie utożsamiaj ryzyka dla osób z kosztami administratora. Przerwa w sprzedaży może być kosztowna dla firmy, lecz ocena z art. 33 dotyczy praw i wolności ludzi. Odwrotnie, technicznie niewielki błąd w wiadomości może ujawnić informację o bardzo poważnych skutkach. Uzasadnienie powinno pokazywać ten związek, a nie ograniczać się do wewnętrznej kategorii ważności awarii.
Zgłoszenie do Prezesa UODO i jego uzupełnienia
Według aktualnej instrukcji UODO dotyczącej zgłoszeń zgłoszenie elektroniczne można złożyć przez dedykowany formularz na biznes.gov.pl. Strona formularza naruszenia zawiera aktualne odnośniki i materiały. Procedura powinna kierować do tych źródeł, zamiast bezterminowo utrwalać dawną ścieżkę przez ePUAP. Kanały składania skarg przez osoby fizyczne nie są automatycznie tą samą procedurą co zgłoszenie administratora.
Zgłoszenie zawiera co najmniej charakter naruszenia, a w miarę możliwości kategorie i przybliżoną liczbę osób oraz wpisów danych. Trzeba podać imię i nazwisko oraz dane kontaktowe IOD albo oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji, a także prawdopodobne konsekwencje i działania podjęte lub proponowane. Dane liczbowe opisuj jako szacunki, jeśli nie są jeszcze ostateczne.
Jeżeli nie można przekazać wszystkich informacji jednocześnie, podaje się je stopniowo bez dalszej zbędnej zwłoki. Nie czekaj na pełny raport informatyki śledczej, gdy można już złożyć wymagane zgłoszenie i wskazać jego ograniczenia. Zachowaj kopię przesłanych informacji, potwierdzenie wysyłki i historię uzupełnień. Przy kolejnej wersji wyjaśnij, co zostało ustalone lub poprawione.
Gdy naruszenie wiąże się z przetwarzaniem transgranicznym, trzeba ustalić właściwy organ i zastosowanie zasad organu wiodącego. Sama obecność polskich klientów nie zawsze oznacza, że zgłoszenie kieruje się do Prezesa UODO. Oficjalna instrukcja zwraca uwagę na tę analizę. Przewodnik po UODO pomaga odróżnić rolę organu od innych instytucji, które mogą uczestniczyć w obsłudze zdarzenia.
Kiedy i jak zawiadomić osoby?
Przy prawdopodobnym wysokim ryzyku informacja dla osób powinna być jasna i zrozumiała. Należy wyjaśnić charakter naruszenia, podać punkt kontaktowy, opisać prawdopodobne konsekwencje oraz działania zaradcze. Komunikat powinien umożliwiać podjęcie rozsądnych kroków ochronnych. Ogólna wiadomość o „zdarzeniu technicznym” bez wskazania, jakie dane i ryzyka dotyczą odbiorcy, może nie spełniać tego celu.
Artykuł 34 przewiduje wyjątki dotyczące zastosowanych środków czyniących dane nieczytelnymi dla nieuprawnionych, późniejszych działań zapewniających, że wysokie ryzyko prawdopodobnie się nie urzeczywistni, oraz niewspółmiernie dużego wysiłku potrzebnego do indywidualnego kontaktu. W ostatnim przypadku potrzebny jest publiczny komunikat lub podobne rozwiązanie zapewniające równie skuteczne poinformowanie. Nie jest to podstawa do całkowitego pominięcia komunikacji.
Dopasuj zalecenia do ustalonego zagrożenia. Nie nakazuj zmiany haseł, jeśli nie dotyczą zdarzenia, i nie obiecuj, że nie nastąpiła szkoda, której nie można wykluczyć. Zadbaj o sposób kontaktu, który nie ujawni dodatkowo listy poszkodowanych. Jeśli ustalenia się zmienią, oceń potrzebę uzupełnienia wcześniejszej informacji. Zawiadomienie osób nie powinno czekać wyłącznie na odpowiedź organu na zgłoszenie.
Naruszenie u dostawcy i obowiązki procesora
Podmiot przetwarzający zawiadamia administratora o naruszeniu bez zbędnej zwłoki po jego stwierdzeniu. Nie ma własnego ogólnego terminu 72 godzin na oczekiwanie z raportem. Nie powinien też wstrzymywać informacji do czasu zakończenia oceny ryzyka, którą wykonuje administrator. W praktyce potrzebne są szybka wiadomość wstępna oraz uzgodniony sposób przekazywania kolejnych ustaleń.
W umowie powierzenia przetwarzania lub innym dopuszczalnym wiążącym akcie prawnym trzeba uwzględnić obowiązki pomocy i zasady współpracy. Zwykłe relacje usługowe opierają się najczęściej na umowie. Można doprecyzować wewnętrzne czasy reakcji, ale nie wolno traktować ich jako zgody na zbędną zwłokę. Uzgodnij również kontakt zastępczy i zakres danych potrzebnych do oceny.
Jeśli procesor obsługuje wielu administratorów, incydent może wymagać przekazania informacji każdemu z dotkniętych klientów. Administrator ocenia konsekwencje w swoim kontekście, uwzględniając własne kopie, kategorie osób i cele. Procesor może wysłać zgłoszenie w jego imieniu po właściwym upoważnieniu, lecz odpowiedzialność za obowiązek pozostaje po stronie administratora.
Przykład zastosowania: plik wysłany do niewłaściwej firmy
Załóżmy, że pracownik przekazuje zewnętrznemu odbiorcy arkusz z danymi klientów, który miał trafić do innego, uprawnionego podmiotu. Zauważa błąd po wysłaniu i informuje osobę wskazaną w procedurze. Nie powinien sam zamykać sprawy po użyciu funkcji cofnięcia wiadomości. Zespół musi ustalić, czy cofnięcie zadziałało, jakie dane były w pliku i czy odbiorca miał możliwość ich odczytania lub dalszego przekazania.
Koordynator odnotowuje czas zgłoszenia, a uprawniona osoba kontaktuje się z odbiorcą w celu ograniczenia skutków. Równocześnie trwa ocena ryzyka. Istotne będą między innymi charakter informacji, możliwość identyfikacji klientów, wiarygodność otrzymanych wyjaśnień i potwierdzenie działań odbiorcy. Informacja, że odbiorca usunął plik, może wpływać na ocenę, lecz nie zwalnia z analizy okoliczności ani z dokumentacji naruszenia.
Jeśli arkusz zawierał także informacje o sytuacji zdrowotnej, ocena może wyglądać inaczej niż w przypadku ograniczonego zestawu zwykłych danych kontaktowych. Nie oznacza to automatycznej decyzji wyłącznie na podstawie nazwy kolumny. Trzeba wyjaśnić możliwe skutki dla konkretnych grup osób i prawdopodobieństwo ich wystąpienia. Administrator podejmuje oddzielne decyzje o zgłoszeniu organowi i zawiadomieniu osób, a ich uzasadnienie trafia do karty sprawy.
Po opanowaniu sytuacji warto sprawdzić, dlaczego wybrano błędnego adresata i dlaczego plik zawierał taki zakres danych. Rozwiązaniem może być zmiana procesu udostępniania, ograniczenie eksportu lub dodatkowa kontrola odbiorcy w sytuacjach podwyższonego ryzyka. Nie należy z góry zakładać, że jedyną przyczyną jest nieuwaga pracownika. Jeśli procedura wymagała ręcznego przesyłania szerokich zestawów danych bez kontroli, sama uwaga skierowana do jednej osoby nie usuwa słabości procesu.
Rejestr naruszeń i zamknięcie sprawy
Rejestr ma pozwalać odtworzyć zdarzenie i decyzje. Nie musi zawierać nieograniczonej kopii wszystkich dowodów. Wystarczająco szczegółowy opis można połączyć z bezpiecznymi odnośnikami do materiałów źródłowych. Dostęp do dokumentacji powinien odpowiadać zadaniom, a okres jej przechowywania wymaga uzasadnienia; art. 33 ust. 5 nie ustanawia jednego uniwersalnego terminu dla wszystkich organizacji.
KARTA NARUSZENIA
Numer sprawy i osoba prowadząca:
Czas zdarzenia, wykrycia i stwierdzenia; źródła ustaleń:
Opis naruszenia oraz poufność / integralność / dostępność:
Kategorie danych, osób i przybliżona skala:
Skutki, dowody i niewyjaśnione okoliczności:
Ocena ryzyka dla praw i wolności wraz z uzasadnieniem:
Decyzja o zgłoszeniu organowi, data i uzasadnienie:
Decyzja o zawiadomieniu osób lub zastosowany wyjątek:
Działania zaradcze, odpowiedzialni i wyniki kontroli:
Wysłane zgłoszenia, komunikaty, potwierdzenia i uzupełnienia:
Zamknięcie oraz warunki ponownego otwarcia oceny:
Nie myl tego rejestru z rejestrem czynności przetwarzania. Rejestr czynności opisuje zwykłą działalność i pomaga znaleźć procesy, odbiorców oraz systemy. Karta naruszenia dokumentuje konkretną sytuację. Po zdarzeniu może się okazać, że opis zwykłego procesu był nieaktualny; wtedy trzeba poprawić również dokumentację przetwarzania, a nie tylko zamknąć kartę incydentu.
Działania naprawcze powinny mieć właściciela i sprawdzalny wynik. Zmiana uprawnień, odtworzenie danych lub korekta reguły wysyłki wymagają potwierdzenia, że rozwiązanie działa. Zasady bezpieczeństwa z art. 32 RODO pomagają powiązać te działania z rzeczywistym ryzykiem. Szkolenie może być potrzebne, ale samo jego przeprowadzenie nie naprawia błędnej konfiguracji systemu.
Przećwicz procedurę na realistycznym, fikcyjnym przypadku: błędnym adresacie, utracie urządzenia albo niedostępności ważnych danych. Sprawdź kontakt, zastępstwo, możliwość zebrania informacji i przekazania zgłoszenia. To zalecenie organizacyjne, a nie twierdzenie, że RODO nakazuje wszystkim identyczne coroczne ćwiczenie. Udokumentuj zauważone luki i usuń je przed rzeczywistym zdarzeniem.
Posiadanie procedury nie gwarantuje uniknięcia odpowiedzialności. Znaczenie mają faktyczne środki ochrony, reakcja i spełnienie obowiązków w danej sprawie. Przewodnik po karach administracyjnych RODO przedstawia szerszy kontekst. W procedurze ważniejsze od historycznego rankingu kar są jasne zadania, prawidłowe przesłanki decyzji i dowody ich wykonania.