Naruszenie ochrony danych osobowych – kluczowa jest ocena ryzyka po naruszeniu

Nie każde naruszenie ochrony danych osobowych wymaga zgłoszenia Prezesowi UODO. Zgodnie z art. 33 ust. 1 RODO administrator ma obowiązek zgłoszenia naruszenia, chyba że jest mało prawdopodobne, aby skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych.

Jak wskazuje Prezes UODO, kluczowe znaczenie ma zatem rzetelna ocena ryzyka związana z konkretnym naruszeniem. Przykładowo, ujawnienie danych przedsiębiorcy dostępnych publicznie w CEIDG, takich jak imię i nazwisko, nazwa firmy, NIP czy adres działalności, może – zależnie od okoliczności – nie powodować obowiązku zgłoszenia.

Inaczej należy ocenić sytuację, gdy wraz z danymi publicznie dostępnymi ujawnione zostają dodatkowe informacje, np. numer PESEL, dane finansowe, informacje dotyczące zdrowia czy inne dane mogące zostać wykorzystane do oszustwa, kradzieży tożsamości lub działań socjotechnicznych.

Administrator powinien być przygotowany przed wystąpieniem naruszenia

Ocena naruszenia nie powinna być tworzona dopiero w sytuacji kryzysowej. Administrator powinien z wyprzedzeniem opracować i wdrożyć narzędzia umożliwiające szybkie i jednolite przeprowadzenie oceny, w szczególności:

• procedurę postępowania w przypadku naruszenia,

• formularz oceny naruszenia i ryzyka,

• kryteria oceny poziomu ryzyka,

• rejestr naruszeń wraz z zasadami dokumentowania podjętych decyzji.

Jest to szczególnie istotne ze względu na obowiązek zgłoszenia naruszenia, jeżeli jest ono objęte obowiązkiem notyfikacji, bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin od jego stwierdzenia.

Brak obowiązku zgłoszenia nie oznacza zwolnienia z dokumentowania naruszenia

Nawet jeżeli administrator uzna, że naruszenie nie wymaga zgłoszenia Prezesowi UODO, musi je udokumentować zgodnie z art. 33 ust. 5 RODO. Dokumentacja powinna pozwalać wykazać, jakie było naruszenie, jakie mogło powodować skutki, jakie działania podjęto oraz na jakiej podstawie uznano, że zgłoszenie nie jest wymagane.

Dlatego przygotowanie odpowiednich narzędzi przed wystąpieniem naruszenia jest jednym z istotnych elementów prawidłowego systemu zarządzania ochroną danych osobowych.

Źródło: https://uodo.gov.pl/pl/138/4596