Naruszenie ochrony danych?
Biegnie 72-godzinny termin. Pomagamy natychmiast.
Niezależnie od tego, czy chodzi o e-mail wysłany na niewłaściwą listę adresatów, zgubiony laptop czy atak ransomware – wszędzie tam, gdzie pracują ludzie, zdarzają się błędy. Najważniejsze, aby teraz właściwie zareagować. Nasz zespół kryzysowy najpierw ocenia incydent, a następnie, w razie potrzeby, zajmuje się zgłoszeniem do organu nadzorczego i zawiadomieniem osób, których dane dotyczą.
Linia alarmowa · Od poniedziałku do piątku w godz. 9:00–17:00 · doświadczeni inspektorzy ochrony danych i prawnicy
Powstrzymać incydent
Zablokować dostępy, odłączyć urządzenia od sieci, wycofać błędnie wysłaną korespondencję – ograniczyć szkody, ale niczego nie usuwać.
Zanotować czas
Kiedy doszło do naruszenia i kiedy Państwo się o nim dowiedzieli?
Prosimy o kontakt
Wspólnie z Państwem oceniamy ryzyko.
Czym jest naruszenie ochrony danych osobowych w rozumieniu RODO?
Incydent, który RODO określa jako „naruszenie ochrony danych osobowych“, ma miejsce, gdy dane osobowe zostają przypadkowo lub niezgodnie z prawem zniszczone, utracone, zmienione, ujawnione lub udostępnione (art. 4 pkt 12 RODO). Atak hakerski to tylko jeden z wielu przypadków. Większość naruszeń ma miejsce w codziennej pracy.
Błędnie wysłany e-mail
Błędny adres odbiorcy, jawna lista adresatów w polu CC zamiast BCC albo załącznik z danymi innych osób. To najczęstszy przypadek w praktyce.
Zgubione lub skradzione urządzenia
Laptop zostawiony w pociągu, skradziony telefon służbowy, zaginiony pendrive – szczególnie groźne, gdy dane nie były zaszyfrowane.
Ransomware i ataki hakerskie
Zaszyfrowane systemy, wykradzione dane klientów, szantaż. Tu każda godzina ma znaczenie dla zgłoszenia i komunikacji.
Dokumenty wysłane do niewłaściwego adresata
Korespondencja wysłana na niewłaściwy adres, akta wyrzucone na makulaturę, dokumenty pozostawione w poczekalni. Również incydenty dotyczące dokumentacji papierowej mogą stanowić naruszenie ochrony danych, ale nie zawsze podlegają obowiązkowi zgłoszenia. To, czy konieczne jest zgłoszenie do organu nadzorczego, również w tym przypadku zależy od oceny ryzyka zgodnie z art. 33 RODO
Nieuprawniony dostęp
Byli pracownicy zachowują dostęp do systemów albo uprawnienia pracowników są nadane zbyt szeroko.
Błąd konfiguracji i wyciek danych
Otwarte zasoby w chmurze, błędnie ustawione uprawnienia udostępniania, formularze z publicznie widocznymi wpisami – często niezauważone przez wiele miesięcy.
Pierwsze 72 godziny:
Co dzieje się teraz i w jakiej kolejności
Godzina 0
Wykrycie i ograniczenie skutków
Zablokować dostępy, odizolować systemy, wycofać błędnie wysłaną wiadomość. Udokumentować moment, w którym dowiedzieli się Państwo o zdarzeniu – od tej chwili biegnie termin.
Następnie
Dokumentacja i działania naprawcze
Każde naruszenie ochrony danych osobowych jest dokumentowane (art. 33 ust. 5 RODO). Analizujemy incydent i usuwamy lukę, aby sytuacja się nie powtórzyła.
Godzina 0–24
Zawiadomienie osób, których dane dotyczą
Jeśli naruszenie może powodować wysokie ryzyko, osoby, których dane dotyczą, muszą zostać zawiadomione zgodnie z art. 34 RODO. Przygotujemy treść zawiadomienia: jasną, poprawną i bez wywoływania paniki.
Do godziny 72
Ocena ryzyka
Jakie dane, ile osób dotkniętych, jakie skutki? Sprawdzamy, czy istnieje ryzyko dla osób, których dane dotyczą, a tym samym – czy zgłoszenie jest obowiązkowe.
Termin minął? Mimo to należy zgłosić naruszenie – podając przyczyny opóźnienia.
Jeśli wymagane zgłoszenie nie zostanie dokonane w ciągu 72 godzin, opóźnienie trzeba uzasadnić. Obowiązek niezwłocznego zgłoszenia nadal obowiązuje. Najdroższym błędem jest niezgłoszenie naruszenia w ogóle. Dlatego prosimy o kontakt także wtedy, gdy 72 godziny już minęły.
W nagłych wypadkach i jeszcze wcześniej u Państwa boku
Zespół szybkiego reagowania na naruszenia ochrony danych
Natychmiast
Wsparcie doraźne oparte na wiedzy specjalistycznej i doświadczeniu operacyjnym w sytuacjach nieplanowanych. Od pierwszego telefonu do zamkniętej dokumentacji.
Prewencja: proces eskalacji i symulacja
Wspólnie z Państwem opracowujemy jasno określone procedury eskalacji na wypadek naruszeń ochrony danych i symulujemy incydenty, aby w sytuacji kryzysowej każdy wiedział, co robić.
Termin na zgłoszenie do organu nadzorczego – liczony od stwierdzenia naruszenia (art. 33 RODO).
lub 2 % całkowitego światowego rocznego obrotu: górna granica kar za naruszenie obowiązku zgłoszenia i zawiadomienia (art. 83 ust. 4 RODO).
To wystarczy.
Najczęstsze pytania dotyczące naruszeń ochrony danych
Czy każde naruszenie ochrony danych trzeba zgłaszać organowi nadzorczemu?
Nie. Zgłoszenie na podstawie art. 33 RODO nie jest wymagane, jeśli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób, których dane dotyczą – na przykład w przypadku utraty laptopa z bezpiecznym szyfrowaniem. Każde naruszenie ochrony danych osobowych musi jednak zostać udokumentowane, także to, które nie podlega zgłoszeniu. Ocena, czy istnieje ryzyko, jest kluczowym krokiem – i właśnie w tym Państwa wspieramy.
Od kiedy biegnie 72-godzinny termin?
Od chwili, w której administrator stwierdził naruszenie ochrony danych osobowych, czyli gdy ma wystarczającą pewność, że incydent bezpieczeństwa dotyczy danych osobowych. Termin biegnie również w weekendy i święta. Jeśli brakuje jeszcze informacji, zgłoszenia można dokonać etapami: najpierw to, co najważniejsze, a szczegóły uzupełnić później.
Kiedy należy zawiadomić osoby, których dane dotyczą?
Jeśli naruszenie ochrony danych może powodować wysokie ryzyko dla osób, których dane dotyczą – na przykład w przypadku wycieku danych logowania, danych o zdrowiu lub danych rachunków bankowych – osoby te muszą zostać niezwłocznie zawiadomione zgodnie z art. 34 RODO. Zawiadomienie musi jasnym i prostym językiem wyjaśniać, co się stało i co osoby te mogą zrobić.
Co grozi, jeśli nie zgłosimy naruszenia lub zrobimy to za późno?
Naruszenie obowiązku zgłoszenia i zawiadomienia może skutkować karami pieniężnymi do 10 milionów euro lub 2 % całkowitego rocznego światowego obrotu (art. 83 ust. 4 RODO). Do tego mogą dojść roszczenia odszkodowawcze osób, których dane dotyczą, oraz szkody wizerunkowe. Roszczenia odszkodowawcze nie powstają automatycznie wskutek braku lub opóźnienia zgłoszenia, lecz zależą od przesłanek określonych w art. 82 RODO. Również szkoda wizerunkowa nie musi wystąpić.
Naruszenie wystąpiło u naszego usługodawcy – kto ma je zgłosić?
Podmiot przetwarzający musi bez zbędnej zwłoki zgłosić incydent Państwu jako administratorowi (art. 33 ust. 2 RODO). Zgłoszenie do organu nadzorczego i zawiadomienie osób, których dane dotyczą, pozostają Państwa obowiązkiem. Dlatego warto sprawdzić, czy umowy powierzenia przetwarzania danych przewidują dla usługodawców jasne ścieżki i terminy zgłaszania.
Co musi zawierać zgłoszenie do organu nadzorczego?
Co najmniej charakter naruszenia wraz z kategoriami i przybliżoną liczbą osób, których dane dotyczą, oraz wpisów danych, dane kontaktowe inspektora ochrony danych, możliwe konsekwencje oraz zastosowane lub proponowane środki (art. 33 ust. 3 RODO).
Naruszenie ochrony danych?
Prosimy o telefon.
Bez zobowiązań · 30 minut · Bezpłatnie
Inne usługi
