W lutym 2025 roku Urząd Ochrony Danych Osobowych reprezentowany przez Prezesa UODO opublikował zaktualizowaną wersję poradnika pt. „Obowiązki administratorów związane z naruszeniami ochrony danych osobowych”. Dokument ten jest istotnym źródłem wiedzy dla administratorów danych, inspektorów ochrony danych (IOD) oraz innych osób odpowiedzialnych za zapewnienie zgodności z przepisami RODO, szczególnie w kontekście naruszeń ochrony danych osobowych. Chociaż zmiany wprowadzone w nowym poradniku nie są rewolucyjne, to jednak istotnie zmieniają sposób podejścia do zarządzania naruszeniami ochrony danych.
Naruszenia ochrony danych osobowych – definicja i zakres
Istotnym elementem, na który zwraca uwagę zaktualizowany poradnik, jest definicja „naruszenia ochrony danych osobowych”.
Rozumienie tego pojęcia obejmuje wszelkie przypadki zakłócenia bezpieczeństwa przetwarzanych danych osobowych, które może wpłynąć na ich poufność, integralność lub dostępność, bez względu na to, czy:
- doprowadziło do niego celowe działanie,
- przyczyną jest przypadek.
Będzie to zatem każde zdarzenie, które:
- jest incydentem bezpieczeństwa;
- jest związane z przetwarzaniem danych osobowych;
- może skutkować nieuprawnionym ujawnieniem, utratą, zmianą, dostępem do danych osobowych.
Poradnik podkreśla także wagę monitorowania wszelkich zdarzeń, które mogą wskazywać na możliwe naruszenie. Administratorzy danych muszą dążyć do szybkiego wykrywania takich sytuacji i podejmowania działań zapobiegawczych. W przypadku wykrycia naruszenia kluczowym krokiem jest odpowiednia reakcja na incydent oraz właściwe udokumentowanie zdarzenia.
W poradniku podkreśla się, że w przypadku gdy pośród zebranych o danej osobie informacji prawdziwe są tylko dane pozwalające na zidentyfikowanie tej osoby – nie ma konieczności, aby pozostałe dane były prawdziwe, aby móc mówić o naruszeniu ochrony danych osobowych. Przetwarzanie danych fałszywych również może stanowić naruszenie praw i wolności danej osoby.
W podręczniku zwraca się również uwagę na to, że czasami trudno określić, jakie skutki może spowodować dany incydent. Kluczowy jest ewentualny wpływ na osobę, której dane dotyczą i jej prawa oraz wolności.
Te skutki mogą stanowić:
- uszczerbek fizyczny,
- szkody majątkowe,
- szkody niemajątkowe.
Warto też podkreślić, że zgodnie z poradnikiem RODO działanie nawet najlepiej zabezpieczonych systemów informatycznych może zostać zakłócone przez nieprzewidziane zdarzenia, takie jak pomyłki, katastrofy naturalne czy zaawansowane cyberataki. Celem RODO jest zagwarantowanie, że organizacje podejmą wszelkie odpowiednie działania w celu minimalizacji ryzyk oraz ochrony praw i wolności podmiotów danych.
Urząd Ochrony Danych Osobowych a obowiązek zgłaszania naruszeń
Jednym z najważniejszych elementów poradnika jest przypomnienie o obowiązku zgłaszania naruszeń ochrony danych osobowych do organu nadzorczego, którym w Polsce jest UODO. Zgodnie z przepisami RODO administrator danych ma obowiązek zgłoszenia naruszenia w terminie 72 godzin od jego stwierdzenia, chyba że naruszenie nie wiąże się z ryzykiem dla praw lub wolności osób fizycznych.
Zgłoszenie do UODO musi zawierać szczegółowe informacje, w tym m.in. opis naruszenia, kategorie danych osobowych, które zostały dotknięte, oraz przewidywane konsekwencje dla osób, których dane zostały ujawnione.
Warto jednak zauważyć, że zgłoszenie do UODO nie jest wymagane wtedy, gdy ryzyko związane z naruszeniem jest minimalne. W sytuacjach, gdy naruszenie nie wiąże się z poważnym ryzykiem dla osób fizycznych, zgłoszenie nie jest obowiązkowe. Niemniej jednak, w każdym przypadku administratorzy danych powinni prowadzić szczegółową dokumentację wszystkich incydentów związanych z bezpieczeństwem danych, niezależnie od tego, czy zostały one zgłoszone do UODO, czy nie.
Rola inspektora ochrony danych
Nowy poradnik ponownie kładzie nacisk na rolę inspektora ochrony danych (IOD). W sytuacjach, gdy dochodzi do naruszenia ochrony danych, inspektor pełni kluczową funkcję w analizie przyczyn incydentu, ocenie ryzyka, a także w opracowywaniu działań naprawczych. IOD powinien współpracować z administratorem danych, pomagając w opracowywaniu planów naprawczych i strategii zapobiegania podobnym incydentom w przyszłości.
Chociaż inspektor ochrony danych ma istotny wpływ na proces zarządzania naruszeniami, ostateczna odpowiedzialność za zgodność z przepisami RODO wciąż spoczywa na administratorze danych. Inspektor ochrony danych pełni funkcję doradczą i kontrolną, ale to administrator musi podejmować ostateczne decyzje dotyczące działań naprawczych oraz zgłaszania naruszenia do organów nadzorczych.
Dokumentacja naruszeń w Urzędzie Ochrony Danych Osobowych
Nowy poradnik podkreśla konieczność prowadzenia szczegółowej dokumentacji wszystkich naruszeń ochrony danych osobowych. Bez względu na to, czy naruszenie zostało zgłoszone do organu nadzorczego, administratorzy danych mają obowiązek dokumentować wszelkie incydenty związane z bezpieczeństwem danych.
Dokumentacja ta powinna zawierać szczegółowe informacje o naruszeniu, w tym opis zdarzenia, ocenę ryzyka, podjęte działania naprawcze oraz ewentualne wnioski na przyszłość. Warto dodać, że prowadzenie szczegółowej dokumentacji jest również ważne w kontekście kontroli organów nadzorczych. Dzięki dobrze prowadzonej dokumentacji administratorzy danych mogą wykazać, że podjęli odpowiednie działania naprawcze i wdrożyli procedury zapobiegawcze w odniesieniu do przyszłych naruszeń.
Przykład 1.
Firma zajmująca się handlem internetowym doświadczyła naruszenia ochrony danych swoich klientów. Jeden z pracowników w wyniku błędu wysłał dane osobowe klientów do niewłaściwego adresata. Administrator danych po stwierdzeniu naruszenia powinien niezwłocznie zgłosić incydent do UODO, ponieważ naruszenie wiązało się z ryzykiem dla praw i wolności osób, których dane zostały ujawnione. Administrator powinien również przeanalizować przyczyny naruszenia i wdrożyć działania naprawcze, takie jak szkolenie pracowników z zakresu bezpieczeństwa danych osobowych oraz wzmocnienie procedur weryfikacji adresatów wiadomości. Dodatkowo incydent powinien zostać odpowiednio udokumentowany, a wszelkie kroki naprawcze – wprowadzone.
Współpraca z podmiotami przetwarzającymi dane
Poradnik zwraca również uwagę na konieczność współpracy z podmiotami przetwarzającymi dane osobowe. Administratorzy danych, którzy korzystają z usług podmiotów przetwarzających, muszą zapewnić, że umowy z tymi podmiotami zawierają odpowiednie klauzule dotyczące zarządzania naruszeniami ochrony danych. Warto zwrócić uwagę na fakt, że odpowiedzialność za ochronę danych nie kończy się na administratorze danych, ale obejmuje również podmioty przetwarzające, które są zobowiązane do przestrzegania zasad bezpieczeństwa danych.
Administratorzy danych powinni nie tylko zapewnić odpowiednie umowy z podmiotami przetwarzającymi, ale także regularnie monitorować działania tych podmiotów w zakresie ochrony danych osobowych. W sytuacjach, w których dochodzi do naruszenia przez podmiot przetwarzający, administrator danych powinien niezwłocznie podjąć odpowiednie kroki naprawcze, w tym zgłoszenie naruszenia do organu nadzorczego, jeśli zajdzie taka potrzeba.
Edukacja i szkolenia pracowników
Poradnik Prezesa UODO podkreśla, że kluczowym elementem zapobiegania naruszeniom ochrony danych osobowych jest systematyczne szkolenie pracowników. Administratorzy danych powinni organizować regularne szkolenia dla swoich pracowników, które będą obejmować kwestie związane z ochroną danych osobowych, procedurami postępowania w przypadku naruszeń oraz zasadami bezpieczeństwa danych. Wzrost świadomości pracowników w zakresie ochrony danych osobowych ma na celu zapobieganie przypadkowym naruszeniom, które mogą wyniknąć z braku wiedzy lub niewłaściwego postępowania.
W szczególności pracownicy odpowiedzialni za przetwarzanie danych powinni znać nie tylko przepisy RODO, ale także procedury wewnętrzne organizacji dotyczące ochrony danych osobowych. Wiedza na temat sposobów postępowania w przypadku naruszenia oraz zasad reagowania na incydenty może pomóc w szybszym i skuteczniejszym minimalizowaniu ryzyka oraz zapobieganiu poważniejszym konsekwencjom.
Zmiany w stosunku do poprzedniego poradnika
Istotną zmianą jest aktualizacja wytycznych w odniesieniu do przepisów unijnych. Nowy poradnik jest zgodny z najnowszymi wytycznymi Europejskiej Rady Ochrony Danych (EROD), co zapewnia spójność z praktykami stosowanymi w innych państwach członkowskich UE. Zaktualizowane wytyczne odnoszą się do metodologii zgłaszania naruszeń, sposobów oceniania ryzyka dla osób, których dane zostały naruszone, a także do roli inspektora ochrony danych w zarządzaniu incydentami.
