Ile czasu jest na zgłoszenie incydentu RODO?

W dynamicznym świecie cyfrowym, gdzie dane osobowe stanowią cenną walutę, ochrona prywatności jest priorytetem. Niestety, incydenty związane z naruszeniem danych osobowych – popularnie zwane incydentami RODO – zdarzają się i mogą mieć poważne konsekwencje. Jednym z najczęściej zadawanych pytań w kontekście RODO jest: ile czasu mamy na zgłoszenie takiego zdarzenia? Odpowiedź nie jest tak prosta, jak mogłoby się wydawać, ale kluczowe są tu szybkość i świadomość obowiązków.

Co to jest incydent RODO?

Zanim przejdziemy do terminów, warto jasno określić, czym właściwie jest incydent RODO, czyli naruszenie ochrony danych osobowych. Zgodnie z art. 4 pkt 12 RODO, jest to "naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych". Innymi słowy, każde zdarzenie, które prowadzi do tego, że dane osobowe:

• Zostaną utracone (np. zgubiony laptop z danymi).
• Zostaną zniszczone (np. awaria systemu bez kopii zapasowej).
• Zostaną zmienione bez autoryzacji.
• Dostaną się w ręce nieuprawnionych osób (np. atak hakerski, wysłanie e-maila do niewłaściwego odbiorcy).

...jest incydentem RODO. Ważne jest, aby zrozumieć, że nie każde naruszenie będzie wymagało zgłoszenia do organu nadzorczego, ale każde musi być wewnętrznie udokumentowane.

Kluczowy termin: 72 godziny

To jest chyba najbardziej znana i najczęściej podkreślana zasada: administrator danych ma obowiązek zgłosić naruszenie ochrony danych osobowych organowi nadzorczemu – w Polsce jest to Prezes Urzędu Ochrony Danych Osobowych (UODO) – bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

Kiedy zaczyna się liczyć czas?

Termin 72 godzin rozpoczyna bieg w momencie, gdy administrator danych stwierdził naruszenie. "Stwierdzenie" oznacza, że administrator ma już wystarczającą wiedzę o tym, że doszło do incydentu, aby móc rozpocząć proces oceny ryzyka. Nie chodzi o moment, w którym naruszenie miało miejsce, ale o moment, w którym organizacja się o nim dowiedziała i jest świadoma jego charakteru.

Co, jeśli nie zdążymy?

Jeśli zgłoszenie nie zostanie dokonane w ciągu 72 godzin, administrator musi dołączyć do niego wyjaśnienie przyczyn opóźnienia. To nie oznacza, że zgłoszenie po tym terminie jest niemożliwe, ale musi być odpowiednio uzasadnione. Brak takiego uzasadnienia może być potraktowany jako dodatkowe naruszenie i skutkować sankcjami. Co więcej, jeśli pełne informacje nie są dostępne w momencie zgłoszenia, można przedstawić je w częściach, uzupełniając raport sukcesywnie. Kluczowe jest jednak pierwsze zgłoszenie w terminie.

Obowiązek informowania osób fizycznych

Oprócz zgłoszenia do UODO, w niektórych przypadkach administrator ma również obowiązek powiadomienia osób, których dane dotyczą, o naruszeniu ochrony danych osobowych.

Kiedy jest to konieczne?

Taki obowiązek powstaje, gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych. Wysokie ryzyko oznacza, że incydent może prowadzić do poważnych konsekwencji dla osoby, np. kradzieży tożsamości, oszustw finansowych, utraty reputacji czy dyskryminacji. Powiadomienie powinno zawierać przynajmniej:

• Opis charakteru naruszenia.
• Imię i nazwisko oraz dane kontaktowe inspektora ochrony danych (IOD) lub innego punktu kontaktowego.
• Opis możliwych konsekwencji naruszenia.
• Opis środków zastosowanych lub proponowanych przez administratora w celu zaradzenia naruszeniu, w tym środków minimalizujących jego negatywne skutki.

Istnieją jednak wyjątki, kiedy powiadomienie osób fizycznych nie jest wymagane, np. gdy administrator zastosował odpowiednie techniczne i organizacyjne środki ochrony (takie jak szyfrowanie), które uniemożliwiają odczytanie danych przez nieuprawnione osoby, lub gdy podjął późniejsze działania eliminujące wysokie ryzyko.

Dlaczego termin jest tak ważny?

Szybkie zgłoszenie incydentu RODO nie jest tylko formalnością. Ma ono kluczowe znaczenie z kilku powodów:

• Minimalizacja szkód: Im szybciej organ nadzorczy wie o incydencie, tym szybciej może zareagować i pomóc w minimalizacji potencjalnych szkód. Może to obejmować doradztwo, a nawet wydanie zaleceń.
• Zaufanie: Transparentność w przypadku naruszeń buduje zaufanie wśród klientów i partnerów. Pokazuje, że firma traktuje ochronę danych poważnie.
• Odpowiedzialność: Niewywiązanie się z obowiązku zgłoszenia w terminie lub brak odpowiedniej reakcji może skutkować wysokimi karami finansowymi, sięgającymi nawet 20 milionów euro lub 4% całkowitego rocznego światowego obrotu przedsiębiorstwa.

Ciekawostka: W jednym ze znanych przypadków, duża firma technologiczna została ukarana grzywną w wysokości 50 milionów euro, częściowo z powodu braku transparentności i opóźnień w zgłaszaniu naruszeń. To pokazuje, jak poważnie traktowane są te zasady.

Pamiętaj o dokumentacji wewnętrznej

Niezależnie od tego, czy incydent wymaga zgłoszenia do UODO, czy powiadomienia osób fizycznych, każde naruszenie ochrony danych osobowych musi być wewnętrznie udokumentowane. Ten rejestr powinien zawierać:

• Opis naruszenia.
• Okoliczności, w jakich do niego doszło.
• Skutki naruszenia.
• Podjęte działania naprawcze.

Dokumentacja ta jest niezwykle ważna, ponieważ pozwala organizacji uczyć się na błędach, doskonalić swoje procedury bezpieczeństwa i wykazać zgodność z RODO w przypadku kontroli. Nawet jeśli incydent nie został zgłoszony zewnętrznie, UODO może zażądać wglądu w wewnętrzny rejestr.

Podsumowanie najważniejszych zasad

Zgłaszanie incydentów RODO to proces, który wymaga precyzji i szybkości działania. Oto kluczowe punkty, które należy zapamiętać:

1. Zgłoś naruszenie do UODO w ciągu 72 godzin od stwierdzenia, jeśli istnieje ryzyko naruszenia praw lub wolności osób.
2. Jeśli zgłoszenie jest opóźnione, koniecznie dołącz uzasadnienie.
3. Powiadom osoby fizyczne, których dane dotyczą, jeśli naruszenie może powodować wysokie ryzyko dla ich praw i wolności.
4. Zawsze dokumentuj wewnętrznie każde naruszenie, niezależnie od obowiązku zgłoszenia zewnętrznego.
5. Szybka reakcja i transparentność to podstawa w budowaniu zaufania i unikaniu poważnych konsekwencji.