SZODO

Narzędzie · art. 33 i 34 RODO

Kalkulator wagi naruszenia

Doszło do wycieku, pomyłki w korespondencji albo ataku ransomware? Kilka pytań i wyliczona waga naruszenia metodyką ENISA — tą samą, której używa rejestr naruszeń w SZODO — z podpowiedzią, czy zgłosić naruszenie do UODO i czy zawiadomić osoby.

w przeglądarceżadna odpowiedź nie idzie na serwer
bez e-mailai bez zakładania konta
ta sama metodate same liczby co w aplikacji

Co ten kalkulator robi

Najpierw sprawdza, czy zdarzenie jest w ogóle naruszeniem ochrony danych, a potem liczy wagę według wzoru SE = DPC × EI + CB: rodzaj danych i to, co da się z nich wywnioskować (DPC), mnoży przez łatwość identyfikacji osób (EI) i dodaje okoliczności naruszenia (CB). Mnożniki, punkty i progi są takie same jak w aplikacji SZODO.

Czego nie robi — i dlaczego

Nie tworzy dokumentu i nie pilnuje terminu. Każde naruszenie trzeba wpisać do rejestru razem z uzasadnieniem oceny (art. 33 ust. 5 RODO), a zgłoszenie złożyć w ciągu 72 godzin od stwierdzenia naruszenia. Kalkulator niczego nie zapisuje i nie pamięta niczego po odświeżeniu strony — ta część pracy jest zadaniem aplikacji.

Krok 1 — czy to naruszenie ochrony danych

Nie każdy incydent bezpieczeństwa jest naruszeniem w rozumieniu RODO. Kalkulator zatrzyma się, jeżeli zdarzenie nie dotyczy danych osobowych albo żadna z trzech cech bezpieczeństwa danych nie została naruszona (pytania o nie są w Kroku 4).

Czy zdarzenie dotyczy danych osobowych?

Także danych w papierze — teczka zostawiona w tramwaju albo pismo wysłane do złego adresata liczą się tak samo jak wyciek z systemu.

Krok 2 — kontekst przetwarzania (DPC)

Liczy się nie tylko rodzaj danych, ale to, co da się z nich wywnioskować w kontekście, w jakim wystąpiły. Lista pacjentów poradni diabetologicznej to formalnie imiona i nazwiska — a mówi o zdrowiu.

Jakiego rodzaju dane objęło naruszenie?

Gdy dotyczy kilku rodzajów — wybierz ten, który waży najwięcej.

Co da się z tych danych wywnioskować o osobie?

Najpierw wybierz rodzaj danych powyżej.

W aplikacji SZODO przy każdym wariancie jest pełny opis i przykład z praktyki.

Krok 3 — łatwość identyfikacji (EI)

Te same dane szkodzą inaczej, gdy da się je przypisać konkretnej osobie, a inaczej, gdy nie — dlatego ten składnik jest mnożnikiem.

Jak łatwo powiązać ujawnione dane z konkretną osobą?

Krok 4 — okoliczności naruszenia (CB)

Trzy cechy bezpieczeństwa danych — każda dokłada do wyniku od 0 do 0,5 — oraz działanie umyślne.

Poufność — czy dane poznały osoby nieuprawnione?

Integralność — czy dane zostały zmienione?

Dostępność — czy dane były albo są niedostępne?

Czy naruszenie było wynikiem działania umyślnego?

Atak, kradzież, celowe ujawnienie przez pracownika — w odróżnieniu od pomyłki.

Waga jest policzona. Co dalej

Wynik na ekranie podpowiada, czy naruszenie zgłosić i czy zawiadomić osoby. Nie odpowiada na pytanie, które pada podczas kontroli: czym Pan to wykaże. Do tego potrzebny jest wpis w rejestrze naruszeń — z datą stwierdzenia, opisem, oceną z uzasadnieniem, podjętymi działaniami i decyzją administratora — a przy zgłoszeniu także formularz UODO złożony w 72 godziny.

W SZODO rejestr naruszeń liczy wagę tą samą metodyką, ale przy każdym wariancie pokazuje przykład z praktyki, odlicza 72 godziny od stwierdzenia naruszenia, przygotowuje uzasadnienie oceny ryzyka, wypełnia urzędowy formularz zgłoszenia i pismo do osób, a incydenty, które naruszeniem nie są, odnotowuje w osobnej ewidencji. Zamiast arkusza, w którym ocena jest liczbą bez uzasadnienia — dokument, który obroni się przy kontroli.

Odnotuj naruszenie w demonstracji Zobacz cennik Jak zgłasza się naruszenie

Najczęstsze pytania

Czy kalkulator wagi naruszenia jest darmowy i czy opis naruszenia trafia na serwer?

Jest darmowy, nie wymaga rejestracji ani podania adresu e-mail i nie ma limitu użyć. Liczy się w całości w przeglądarce: żadna odpowiedź nie jest wysyłana na serwer ani nigdzie zapisywana, a odświeżenie strony kasuje wszystko.

Czy niska waga naruszenia oznacza, że nie trzeba nic robić?

Nie. Niska waga może przemawiać za tym, że naruszenie nie skutkuje ryzykiem dla osób, więc nie trzeba go zgłaszać Prezesowi UODO. Każde naruszenie trzeba jednak wpisać do wewnętrznego rejestru naruszeń razem z okolicznościami, skutkami, podjętymi działaniami i uzasadnieniem oceny (art. 33 ust. 5 RODO).

Czy wynik z kalkulatora decyduje o zgłoszeniu do UODO?

Nie. Metodyka ENISA porządkuje ocenę i pozwala uzasadnić ją liczbami, ale decyzję o zgłoszeniu i zawiadomieniu osób podejmuje administrator. Zdarza się, że przemawiają za nią okoliczności, których skala nie obejmuje — na przykład liczba osób albo to, że dotyczy dzieci.

Czym różni się ten kalkulator od oceny w aplikacji SZODO?

Arytmetyka jest ta sama: wzór SE = DPC × EI + CB, te same mnożniki, punkty i progi. Aplikacja dodaje to, czego strona nie może: przykład z praktyki przy każdym wariancie, licznik 72 godzin od stwierdzenia naruszenia, uzasadnienie oceny ryzyka, urzędowy formularz zgłoszenia do UODO, pismo do osób i wpis w rejestrze naruszeń z historią zmian.