REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

RODO: informowanie o wycieku i innych naruszeniach ochrony danych osobowych

Sylwia Czub-Kiełczewska
Specjalista ds. ochrony danych osobowych i informacji niejawnych
RODO for. shutterstock
RODO for. shutterstock

REKLAMA

REKLAMA

Przed RODO przepisy nie regulowały zasad powiadamiania osób, których dane dotyczą o wycieku (lub innym groźnym zdarzeniu) jej danych. Obecnie jeżeli zostanie naruszona ochrona danych, w wyniku której istnieje duże ryzyko dla praw i wolności osób, których dane dotyczą, to administrator ma obowiązek dokonać zawiadomienia tych osób (art. 34 RODO).

Zawiadomienie osób, których dane dotyczą o naruszeniu ochrony ich danych

Informowanie osób, że z ich danymi stało się „coś złego” (to może być nie tylko kradzież, ale także nieuprawniona modyfikacja, nieuprawniony dostęp, niewłaściwe zniszczenie, utrata dostępu do danych), jest jednym z nowych i bardzo, bardzo ważnych obowiązków, wynikających z RODO. Nie oszukujmy się, administrator danych najchętniej ukryłby każde zdarzenie, które mogłoby postawić go w złym świetle. Dotychczas administratorzy nie mieli obowiązku poinformowania osób, których dane dotyczą, nawet gdy mieli 100% pewność, że ktoś może wykorzystać dane do kradzieży tożsamości. Mogli to zrobić, ale nie musieli, co oznacza, że zazwyczaj tego nie robili.

REKLAMA

Polecamy: Serwis Inforlex RODO 3 m-ce + książka RODO dla kadrowych i HR

REKLAMA

Warto zwrócić uwagę, że zawiadomienie organu nadzoru o wycieku danych, nie jest niczym nowym. Podobne obowiązki już dawno były wpisane w przepisy o ochronie informacji niejawnych oraz prawo telekomunikacyjne. Jednakże przed RODO przepisy nie regulowały zasad powiadamiania osób, których dane dotyczą o wycieku (lub innym groźnym zdarzeniu) jej danych. Znanych jest kilka historii (polecam poszperać na stronach serwisu Niebezpiecznik.pl) o tym, jak administrator danych “zawiadamiał” w sposób, który nie wnosił żadnej wiedzy, a jedynie zamieszanie i zdenerwowanie. Co nam po informacji, że ktoś ukradł nam dane, a administratorowi jest przykro z tego powodu?

RODO wprowadza nowe zasady. Jeżeli zostanie naruszona ochrona danych w wyniku, której istnieje duże ryzyko dla praw i wolności, osób które dane dotyczą, wówczas administrator ma obowiązek dokonać zawiadomienia tych osób (art. 34 RODO). Jak wspomniałam wcześniej, naruszenie nie dotyczy tylko kradzieży. Naruszeniem będzie zdarzenie, które doprowadzi do utraty, którejkolwiek z fundamentalnych cech danych osobowych, jak integralność, rozliczalność i poufność. Jeżeli za takim zdarzeniem, będzie szło ryzyko dla praw i wolności osoby, której dane dotyczą (np. szantaż tej osoby, kradzież jej danych, niemożliwość skorzystania przez nią z praw przysługujących jej na mocy przepisów prawa, itd), wówczas niezbędne jest zawiadomienie jej, o zaistniałym zdarzeniu.

Ważne: zawiadomienia należy dokonać jak najszybciej. Przede wszystkim dlatego, że tylko szybka reakcja może pozwolić tej osobie zapobiec możliwym skutkom tego zdarzenia, np. zastrzec dane w BIK, wymienić dowód osobisty.

Dalszy ciąg materiału pod wideo

W związku z powyższym administrator powinien wybrać odpowiedni środek komunikacji, który umożliwia jak najszybsze i najskuteczniejsze dotarcie do odbiorców. Jeżeli posiada adresy e-mail powinien wysłać wiadomości elektroniczne (uwaga: należy je wysłać tak, żeby nie dokonać dodatkowego naruszenia, ujawniając odbiorcom nawzajem ich adresy – nie powinni ich widzieć). Można także wysłać smsy, chociaż tutaj ograniczeniem jest długość wiadomości. Bardzo eleganckim i profesjonalnym rozwiązaniem jest zadzwonienie do wszystkich, jednakże wymaga to ogromnego nakładu czasu i pracy. Przy dużej liczbie osób, które należy powiadomić, polecam wysłać do wszystkich wiadomości e-mail oraz wskazać numery telefonu i stronę internetową, na której będzie więcej informacji. Zawiadomienie na stronie internetowej lub w prasie powinno być traktowane jako działanie wspierające, które nie zastępuje bezpośrednich narzędzi zawiadomienia (o ile posiada się bezpośrednie kontakty).

Treść zawiadomienia

Informacja o naruszeniu powinna być napisana prosto i zrozumiale. Jej obowiązkowe elementy to:

  • dane punktu kontaktowego, od którego można uzyskać więcej informacji, w szczególności IOD, jeżeli został wyznaczony;
  • opis możliwych konsekwencji naruszenia dla osoby naruszenia ochrony danych osobowych;
  • opis środków zastosowanych lub proponowanych w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

Osoba, której dane dotyczą zazwyczaj nie ma pojęcia co powinna zrobić, gdy dojdzie do naruszenia. Najistotniejsze dla niej jest wskazanie odpowiedniej procedury działania. Interesują ją informacje o tym, co administrator zrobił, aby takie zdarzenie nie miało miejsca w przyszłości i aby ograniczyć skutki działania. Dobrze zrobione zawiadomienie, to klucz do sukcesu.

Propozycja treści zawiadomienia osób, których danych dotyczą o naruszeniu ochrony ich danych.

Warto podkreślić, że są sytuacje, w których administrator jest zwolniony z obowiązku dokonywania zgłoszenia (art. 34 RODO):

  1. Jeżeli przed naruszeniem, wdrożył odpowiednie techniczne i organizacyjne środki ochrony i środki te zostały zastosowane do danych osobowych, których dotyczy naruszenie, w szczególności środki takie jak szyfrowanie, uniemożliwiające odczyt osobom nieuprawnionym do dostępu do tych danych osobowych;
  2. Jeżeli po naruszeniu zastosował środki eliminujące prawdopodobieństwo wysokiego ryzyka naruszenia praw lub wolności osoby, której dane dotyczą
  3. Jeżeli zawiadomienie wymagałoby niewspółmiernie dużego wysiłku. W takim przypadku wydany zostaje publiczny komunikat lub zastosowany zostaje podobny środek, za pomocą którego osoby, których dane dotyczą, zostają poinformowane w równie skuteczny sposób.

REKLAMA

Zwracam uwagę, że wystarczy, aby został spełniony którykolwiek z powyższych warunków, aby dokonanie zawiadomienia nie było konieczne. Pierwszy warunek pokazuje, jak ważne jest domyślne szyfrowanie danych (dysków komputerów, przesyłanych danych, załączników, plików, nośników danych). Nawet jeżeli koszt szyfrowania jest wysoki, może okazać się inwestycją, która zwróci się przy pierwszym naruszeniu i ochroni administratora przed nieprzyjemnymi konsekwencjami zdarzenia (wtedy naprawdę doceni, to że zostało ono wdrożone).

Drugi przypadek dotyczy środków zaradczych, które administrator podjął po wykryciu naruszenia. Na przykład z jego bazy wykradziono hasła użytkowników, ale zdążył on zresetować te hasła zanim ktokolwiek zalogował się na konta, do których hasła wykradziono.

Ostatni przypadek nie powinien być nadużywany, tzn. to rzeczywiście musi być sytuacja, w której administrator nie będzie w stanie powiadomić tych osób lub koszt powiadomienia przekracza jego możliwości. Administrator musi być w stanie rozsądnie uzasadnić spełnienie tej przesłanki.

Na koniec przestroga. Nie warto unikać odpowiedzialności i zamieść temat pod dywan. Jeżeli zdarzenie zostanie upublicznione i o naruszeniu dowie się Urząd Ochrony Danych, to w sytuacji, gdy nie wypełniliśmy swojego obowiązku wobec osób, których dane dotyczą, a tym samym naraziliśmy ich na ryzyko wykorzystania ich danych, kontrolujący może poczuć się w obowiązku wymierzyć surową i odstraszającą dla innych karę finansową.

Polecamy serwis: Prawa konsumenta

Autopromocja

REKLAMA

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

Wynagrodzenie minimalne 2023 [quiz]
certificate
Jak zdobyć Certyfikat:
  • Czytaj artykuły
  • Rozwiązuj testy
  • Zdobądź certyfikat
1/15
Kiedy będą miały miejsce podwyżki minimalnego wynagrodzenia w 2023 roku?
od 1 stycznia i od 1 lipca
od 1 stycznia i od 1 czerwca
od 1 lutego i od 1 lipca
Następne
Prawo
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Ważny termin dla osób urodzonych po 1968 r. Decyzja tylko do końca lipca

Tylko do końca lipca trwa okno transferowe. Osoby, które urodziły się po 1968 r., mogą zdecydować, gdzie ma trafiać część składki emerytalnej – na subkonto w ZUS czy do OFE.

Nowe wzory dokumentów składanych do ZUS. Zmiana od 1 września 2024 r.

Zmienią się wzory dokumentów składanych do ZUS. Nowe wzory zawiera projekt nowelizacji rozporządzenia w sprawie określenia wzorów zgłoszeń do ubezpieczeń społecznych i ubezpieczenia zdrowotnego. Chodzi m.in. o dostosowanie formularzy do nowych przepisów dotyczących wprowadzenia wcześniejszej emerytury dla nauczycieli.

1500 zł kary za nieuzasadnione wezwanie pogotowia. Kto zapłaci? Czy powinniśmy się obawiać wezwania karetki? Sprawdź.

1500 zł kary za nieuzasadnione wezwanie pogotowia. Kto zapłaci? Czy powinniśmy się obawiać wezwania karetki? Nieuzasadnione wezwanie pogotowia w 2022 roku miało miejsce 2 mln razy.Jak zidentyfikować nagłe pogorszenie zdrowia?

Program Dobry Start: Do ZUS wpłynęło około 1,5 mln wniosków o świadczenie 300 plus

Od 1 lipca 2024 r. ZUS przyjmuje wnioski o świadczenie z programu Dobry Start. Dotychczas rodzice złożyli prawie 1,5 mln wniosków na ponad 2 mln dzieci. W 2023 r. ZUS przyznał świadczenie dla prawie 4,6 mln dzieci.

REKLAMA

Płaca minimalna 2025: Ile wyniesie na rękę, czyli netto?

Jaka będzie płaca minimalna w 2025 roku? Rząd zaproponował, aby od 1 stycznia 2025 r. najniższe wynagrodzenie za pracę wyniosło 4626 zł brutto. Ta propozycja ma duże szanse na wejście w życie, bo Rada Dialogu Społecznego nie wypracowała wspólnego stanowiska w tej sprawie. Zobaczmy, ile to jest netto, czyli "na rękę".

Inflacja w sklepach wyższa niż oblicza GUS. Handlowcy przerzucą w wakacje na klientów cały VAT podwyższony w kwietniu

Przeanalizowano ponad 71,4 tys. cen detalicznych w czerwcu 2024 roku. Jakie wyniki? Otóż codzienne zakupy podrożały w porównaniu do czerwca 2023 roku średnio o 3,1%. W maju podwyżka (cały czas w porównaniu do analogicznego miesiąca w roku poprzednim) wyniosła 2,9%, w kwietniu – 2,4%, a w marcu – 2,1%. To już trwała tendencja. Kolejny miesiąc z rzędu ceny konsekwentnie idą w górę. W grudniu 2024 r. inflacja może dojść do poziomu 4-5%. A ceny w sklepach mogą wzrosnąć jeszcze wyżej. W 2025 roku inflacja może być wyższa niż w 2024 r. Spadek inflacji jest prognozowany dopiero na 2026 rok – o ile oczywiście nie będzie żadnych poważnych zawirowań. Do tego eksperci przypominają, że obecna walka cenowa między dyskontami spowalnia poziom i tempo wzrostu cen. Ale jednocześnie ostrzegają, że w czasie wakacji sklepy mogą przerzucić całość odmrożonego w kwietniu podatku VAT na swoich klientów.

Andrzej Duda. Ile zostało prezydentowi do końca kadencji?

Kiedy prezydent Andrzej Duda kończy kadencję? Kiedy są wybory prezydenckie?

Osoby z niepełnosprawnościami czekają na ustawę o asystencji osobistej. Co mówi pełnomocnik rządu ds. osób z niepełnosprawnościami?

Osoby z niepełnosprawnościami czekają na ustawowe uregulowanie asystencji osobistej. Łukasz Krasoń, pełnomocnik rządu ds. osób z niepełnosprawnościami, przekazał, że projekt przepisów jest już na ostatniej prostej. Upowszechnienie się asystencji osobistej pozwoliłoby sporej grupie osób z niepełnosprawnościami na bardziej aktywne życie, także pod względem zawodowym.

REKLAMA

Renta wdowia. Kiedy wejdzie w życie? Ministra podała termin, jest zmiana

Projekt wprowadzający rentę wdowią wróci już niedługo pod obrady Sejmu. Ministra rodziny, pracy i polityki społecznej Agnieszka Dziemianowicz-Bąk przekazała, że ma się to wydarzyć jeszcze w lipcu. Podała też termin, kiedy w związku z tym ustawa o rencie wdowiej może ostatecznie wejść w życie.

Jak przekazać darowiznę swojemu dziecku i uniknąć podatku? W 2024 r. zrób te trzy rzeczy, a będziesz mógł spać spokojnie

Jak przekazać darowiznę swojemu dziecku i uniknąć podatku? Zrób trzy rzeczy, a będziesz mógł spać spokojnie. Darowizny w najbliższej rodzinie są co do zasady zwolnione od podatku, jednak czasami trzeba złożyć druk SD-Z2.

REKLAMA