RAPORTOWANIE WYCIEKÓW, INCYDENTÓW I NARUSZEŃ DANYCH OSOBOWYCH

1. Podstawa prawna

Najważniejsze przepisy:

  • Art. 33 RODO – obowiązek zgłoszenia naruszenia do organu nadzorczego
  • Art. 34 RODO – obowiązek powiadomienia osób, których dane dotyczą
  • Art. 5 ust. 2 RODO – zasada rozliczalności (administrator musi wykazać działania)

Kluczowe wymogi:

  • zgłoszenie naruszenia do organu (w Polsce: Urząd Ochrony Danych Osobowych) w ciągu 72 godzin od wykrycia
  • jeśli ryzyko jest wysokie → obowiązek poinformowania osób, których dane dotyczą
  • prowadzenie rejestru naruszeń (nawet jeśli nie zgłaszasz do organu)

2. Czym jest incydent / naruszenie danych?

Zgodnie z RODO to:

każde naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem:

  • zniszczenia,
  • utraty,
  • modyfikacji,
  • nieuprawnionego ujawnienia,
  • dostępu do danych osobowych.

Przykłady:

  • wysłanie maila do złego odbiorcy
  • zgubienie laptopa z danymi
  • atak ransomware
  • udostępnienie hasła
  • wyrzucenie dokumentów bez zniszczenia

3. Metodologia postępowania (krok po kroku)

Krok 1: Wykrycie incydentu

Źródła:

  • pracownik (najczęstsze),
  • system IT,
  • klient/osoba, której dane dotyczą,
  • audyt lub kontrola.

Kluczowy obowiązek pracownika: natychmiastowe zgłoszenie (bez analizy „czy to poważne”).

Krok 2: Zgłoszenie wewnętrzne

Pracownik powinien:

  • zgłosić incydent do:
    • przełożonego lub
    • Inspektora Ochrony Danych (IOD)
  • podać:
    • co się stało,
    • kiedy,
    • jakie dane mogły zostać ujawnione,
    • ilu osób dotyczy problem.

Czas reakcji: niezwłocznie (najlepiej natychmiast)

Krok 3: Klasyfikacja incydentu

Organizacja ocenia:

  • rodzaj danych (np. zwykłe vs. wrażliwe),
  • skalę (liczba osób),
  • łatwość identyfikacji osoby,
  • potencjalne skutki (np. kradzież tożsamości).

Stosuje się często analizę ryzyka:

  • niskie ryzyko → brak zgłoszenia do organu
  • średnie/wysokie → zgłoszenie wymagane

Krok 4: Ocena ryzyka dla osób

Ocena obejmuje:

  • czy dane mogą zostać wykorzystane przeciwko osobie,
  • czy możliwa jest szkoda:
    • finansowa,
    • reputacyjna,
    • prawna.

Jeśli wysokie ryzyko → obowiązek powiadomienia osób.

Krok 5: Zgłoszenie do organu nadzorczego

Do Urząd Ochrony Danych Osobowych zgłasza się:

W ciągu 72 godzin od wykrycia

Zgłoszenie musi zawierać:

  • opis incydentu,
  • kategorie i liczbę osób,
  • możliwe konsekwencje,
  • zastosowane środki zaradcze,
  • dane kontaktowe IOD.

Krok 6: Powiadomienie osób, których dane dotyczą

Wymagane, gdy ryzyko jest wysokie.

Powiadomienie powinno być:

  • jasne i zrozumiałe,
  • bez zbędnego opóźnienia,
  • zawierać:
    • opis zdarzenia,
    • możliwe konsekwencje,
    • zalecenia (np. zmiana hasła).

Krok 7: Działania naprawcze

Organizacja powinna:

  • zabezpieczyć systemy,
  • zmienić hasła / dostępy,
  • przywrócić dane z backupu,
  • wdrożyć dodatkowe zabezpieczenia.

Krok 8: Dokumentacja incydentu

Obowiązkowe elementy:

  • data i opis zdarzenia,
  • przyczyna,
  • skutki,
  • podjęte działania,
  • decyzja o zgłoszeniu (lub jej brak).

To realizuje zasadę rozliczalności (art. 5 ust. 2 RODO)

4. Najczęstsze błędy w raportowaniu

  • zbyt późne zgłoszenie (przekroczenie 72h),
  • „ukrywanie” incydentu przez pracownika,
  • brak dokumentacji,
  • błędna ocena ryzyka,
  • brak procedur wewnętrznych.

5. Dobre praktyki (rekomendowane)

  • wdrożenie procedury zarządzania incydentami,
  • szkolenia pracowników (rozpoznawanie incydentów),
  • gotowe formularze zgłoszeń,
  • testy (symulacje incydentów),
  • wyznaczenie jasnej ścieżki eskalacji.

Kluczowa zasada

Najważniejsze w praktyce: lepiej zgłosić za dużo niż za mało

Brak zgłoszenia może skutkować wysokimi karami administracyjnymi, podczas gdy samo wystąpienie incydentu – już niekoniecznie.

 

+48 602 597 030

goreckiwoj.biz@gmail.com

Ulica Ogrodowa 4/7, 44-238 Czerwionka-Leszczyny

Świadczymy kompleksowe usługi Inspektora Ochrony Danych Osobowych, zapewniając zgodność z RODO, KSC, NIS2. Przygotowujemy dokumentację i prowadzimy szkolenia, dostosowując Twoje procesy do wymogów prawnych i rynkowych.

Firma

Usługi

Społeczności

KONTAKT

Masz pytania?