Zgłoszenie naruszenia do UODO — jak liczyć 72 godziny

Od czego liczy się termin

Art. 33 ust. 1 RODO nakazuje zgłosić naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia.

Kluczowe jest słowo „stwierdzenie”. Termin zaczyna biec, gdy administrator uzyskał wystarczającą pewność, że doszło do zdarzenia dotyczącego danych osobowych — a nie wtedy, gdy ustalił jego przyczynę, zasięg i skutki. To rozróżnienie decyduje o wszystkim: ustalanie liczby poszkodowanych trwa zwykle tydzień, a termin mija po trzech dobach.

Konsekwencja praktyczna jest taka, że zgłoszenie robi się na niepełnych danych. Art. 33 ust. 4 wprost na to pozwala: jeżeli informacji nie da się udzielić w tym samym czasie, można je przekazywać sukcesywnie, bez zbędnej zwłoki. Zgłoszenie uzupełniające jest normalnym elementem procedury, a nie przyznaniem się do niedbałości.

Krótka lista rzeczy, które nie wstrzymują biegu terminu: trwające ustalenia informatyka, urlop kierownika, oczekiwanie na odpowiedź dostawcy systemu, weekend.

Czy to naruszenie i czy trzeba je zgłosić

Naruszeniem ochrony danych jest naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych. Trzy elementy tej definicji bywają pomijane:

• Utrata dostępności też jest naruszeniem — zaszyfrowanie danych przez ransomware albo skasowanie jedynej kopii, nawet gdy nikt danych nie zobaczył.
• Naruszenie wewnętrzne liczy się tak samo — pracownik zaglądający do akt, których nie prowadzi, jest nieuprawnionym dostępem.
• Papier liczy się tak samo jak system — teczka zostawiona w tramwaju, pismo wysłane do złego adresata, wyrzucone dokumenty bez zniszczenia.

Zgłoszenia nie wymaga naruszenie, w przypadku którego jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. To ocena administratora — ale ocena, którą trzeba udokumentować wraz z uzasadnieniem, bo organ może ją sprawdzić.

Jak ocenić wagę naruszenia

Ocena „czy jest ryzyko” bywa robiona intuicyjnie, a intuicja przy własnym incydencie jest zwykle łagodna. Praktyczną pomocą jest metodyka ENISA, powszechnie stosowana w Unii, która sprowadza ocenę do trzech składników:

1. Kontekst przetwarzania — jakiego rodzaju dane wyciekły. Dane identyfikacyjne ważą inaczej niż dane o zdrowiu, przekonaniach czy sytuacji finansowej.
2. Łatwość identyfikacji — czy z ujawnionych danych da się wskazać konkretną osobę i jak dużym wysiłkiem.
3. Okoliczności naruszenia — czy doszło do utraty poufności, integralności, dostępności, oraz czy działanie było umyślne.

Wynik daje cztery poziomy wagi (niska, średnia, wysoka, bardzo wysoka). Nie zastępuje decyzji administratora, ale sprawia, że decyzja daje się uzasadnić liczbami — a to jest dokładnie to, czego wymaga art. 5 ust. 2.

Kiedy zawiadamia się osoby

Gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności, administrator bez zbędnej zwłoki zawiadamia także osoby, których dane dotyczą (art. 34 ust. 1). Zawiadomienie ma być napisane jasnym i prostym językiem i zawierać co najmniej: charakter naruszenia, dane kontaktowe inspektora ochrony danych, możliwe konsekwencje oraz zastosowane lub proponowane środki zaradcze.

Art. 34 ust. 3 przewiduje trzy sytuacje, w których zawiadomienie nie jest wymagane:

• administrator wdrożył środki, które czynią dane nieczytelnymi dla osób nieuprawnionych — w praktyce najczęściej szyfrowanie,
• administrator zastosował później środki eliminujące prawdopodobieństwo wysokiego ryzyka,
• zawiadomienie wymagałoby niewspółmiernie dużego wysiłku — wtedy wydaje się publiczny komunikat lub stosuje podobny środek o równie skutecznym zasięgu.

Wyłączenie ze względu na szyfrowanie działa tylko wtedy, gdy klucz nie wyciekł razem z danymi. Zaszyfrowany dysk z hasłem na karteczce w tej samej torbie nie jest środkiem czyniącym dane nieczytelnymi.

Rejestr naruszeń — także tych niezgłoszonych

Art. 33 ust. 5 jest przepisem, o którym zapomina się najczęściej: administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia, jego skutki i podjęte działania zaradcze. Dokumentacja ma pozwolić organowi nadzorczemu zweryfikować przestrzeganie art. 33.

To znaczy, że rejestr obejmuje również zdarzenia uznane za niewymagające zgłoszenia — i że uzasadnienie decyzji o niezgłaszaniu jest częścią rejestru. Pusty rejestr naruszeń nie jest dowodem, że nic się nie działo; bywa czytany jako dowód, że nic nie było odnotowywane.

Pierwsze godziny — kolejność działań

1. Zatrzymaj naruszenie. Odetnij dostęp, wycofaj wiadomość, zabezpiecz nośnik. Zanim cokolwiek zaczniesz opisywać.
2. Odnotuj datę i godzinę stwierdzenia. Od tej chwili biegnie termin i to jest jedyna informacja, której nie da się odtworzyć później.
3. Załóż wpis w rejestrze — nawet z samą nazwą zdarzenia. Reszta dopisuje się w miarę ustaleń.
4. Ustal zakres: czyje dane, jakie kategorie, ile osób. Jeżeli nie wiadomo, zapisz „nieustalone” i wróć do tego.
5. Oceń ryzyko i podejmij decyzję o zgłoszeniu — z uzasadnieniem w obie strony.
6. Zgłoś do Prezesa UODO, jeżeli ryzyko nie jest mało prawdopodobne, i zawiadom osoby, jeżeli ryzyko jest wysokie.
7. Opisz środki zapobiegające powtórzeniu. To ta część dokumentacji, którą organ czyta najuważniej.

Najczęstsze pytania

W praktyce

Jak wygląda rejestr naruszeń w SZODO

Wpis zakłada się dwoma polami — nazwą zdarzenia oraz datą i godziną stwierdzenia — bo w pierwszych godzinach nic więcej zwykle nie jest znane, a termin już biegnie. Resztę uzupełnia się na raty; formularz ma dziesięć sekcji ułożonych w tej samej kolejności co urzędowy formularz zgłoszenia do UODO.

Wagę naruszenia aplikacja wylicza metodyką ENISA z podanych okoliczności, a na podstawie wpisu składa gotowe pisma: zgłoszenie do organu nadzorczego i zawiadomienie osób, których dane dotyczą. Rejestr obejmuje także zdarzenia niezgłoszone — z uzasadnieniem decyzji, tak jak wymaga art. 33 ust. 5.

Asystent AI pomaga opisać, nie ocenia

Jeżeli organizacja podłączy Asystenta AI, na ekranie wpisu można poprosić o projekt opisu naruszenia — jego charakteru, możliwych konsekwencji dla osób i środków zaradczych. To realna pomoc akurat w tym module, bo opis powstaje pod presją czasu, a musi trafić do pisma urzędowego.

Granica jest jednak wpisana w konstrukcję, a nie tylko w instrukcję:

• Asystent wypełnia wyłącznie pola puste — tego, co napisał człowiek, nigdy nie zmienia,
• nie ocenia wagi naruszenia ani nie rozstrzyga, czy zgłosić je do organu nadzorczego; to są decyzje administratora i jego inspektora,
• nic nie zapisuje się samo — propozycję trzeba przeczytać, poprawić i zatwierdzić, a zatwierdzenie zostaje w historii wpisu.

Innymi słowy: Asystent skraca pisanie, a nie myślenie. Pod zgłoszeniem do Prezesa UODO podpisuje się administrator danych, nie program.