Wiadomość z danymi wysłana na zły adres, zgubiony laptop, były pracownik z dostępem do skrzynki. Naruszeniem bywa zwykła pomyłka, nie tylko atak — a od chwili ich stwierdzenia administrator ma w miarę możliwości 72 godziny na decyzję o zgłoszeniu. Ten przewodnik porządkuje, co zrobić w jakiej kolejności i co zapisać, nawet jeśli zgłoszenia nie będzie.
Co jest pewne
- Naruszenie to naruszenie bezpieczeństwa prowadzące do zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub dostępu do danych osobowych (art. 4 pkt 12 RODO).
- Zgłoszenie do Prezesa UODO — bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw lub wolności osób (art. 33 ust. 1). Informacje można uzupełniać sukcesywnie (art. 33 ust. 4).
- Zawiadomienie osób — gdy ryzyko jest wysokie, jasnym i prostym językiem (art. 34), z wyjątkami z art. 34 ust. 3.
- Dokumentowanie — każde naruszenie, także niezgłaszane, trafia do rejestru (art. 33 ust. 5).
Co wymaga oceny
Czy naruszenie niesie ryzyko, a jeśli tak — czy wysokie. To ocena, nie rachunek: to samo zdarzenie bywa oceniane różnie. Dlatego najważniejsze jest zapisane uzasadnienie — jakie dane, ilu osób dotyczy, czy były zaszyfrowane, jak poważne mogą być skutki. Decyzję podejmuje administrator.
Dostawcy
Podmiot przetwarzający zgłasza naruszenie administratorowi bez zbędnej zwłoki (art. 33 ust. 2). Dobra praktyka: konkretny, krótszy termin i kanał kontaktu w umowie powierzenia — żeby administratorowi zostało czasu na ocenę.
W wersji PDF: przykłady naruszeń według rodzaju, kolejność działań w pierwszych godzinach, czynniki oceny ryzyka, zawartość zgłoszenia i zawiadomienia, lista przygotowań i czego unikać.