Nie każdy incydent z danymi trzeba zgłaszać do ICO, ale każde naruszenie danych osobowych trzeba ocenić i udokumentować. Jeżeli naruszenie prawdopodobnie powoduje ryzyko dla praw i wolności osób, UK GDPR wymaga zgłoszenia do Information Commissioner’s Office bez zbędnej zwłoki i — jeśli to wykonalne — w ciągu 72 godzin od chwili, gdy firma dowiedziała się o naruszeniu.
Jeżeli ryzyko dla osób jest wysokie, sama wiadomość do ICO nie wystarczy. Poszkodowane osoby trzeba również poinformować bez zbędnej zwłoki.
To ogólne omówienie obowiązków dla małych firm, nie analiza konkretnego incydentu prawnego. Przy poważnym wycieku, ataku ransomware albo ujawnieniu danych wrażliwych warto korzystać z aktualnych wytycznych ICO i odpowiedniej pomocy specjalistycznej.
Co jest naruszeniem danych osobowych?
Wyciek to nie tylko włamanie hakera. Naruszeniem może być utrata, zniszczenie, zmiana, nieuprawnione ujawnienie albo dostęp do danych osobowych.
Przykłady z małej firmy:
- wysłanie faktury z danymi klienta do niewłaściwej osoby;
- zgubiony laptop zawierający bazę klientów;
- pracownik udostępnia arkusz z danymi przez publiczny link;
- włamanie do skrzynki e-mail i dostęp do korespondencji klientów;
- ransomware szyfrujący dokumenty z danymi osobowymi;
- zgubiony telefon firmowy bez odpowiednich zabezpieczeń;
- przypadkowe skasowanie danych bez możliwości odtworzenia.
Naruszenie poufności jest tylko jednym rodzajem problemu. Utrata dostępności albo integralności danych również może być naruszeniem.
Kiedy zaczyna biec 72 godziny?
ICO w poradniku dla małych firm wyjaśnia, że zegar liczy się od momentu, w którym organizacja odkryła naruszenie — nie od dnia, w którym incydent faktycznie się wydarzył.
Nie oznacza to, że każda podejrzana wiadomość od razu staje się zgłoszeniem. Firma musi ustalić, czy doszło do naruszenia danych osobowych, ale nie może odkładać reakcji tylko po to, aby zebrać kompletną dokumentację.
Nie mam wszystkich informacji — czy czekać ze zgłoszeniem?
Nie, jeżeli incydent jest już oceniony jako podlegający zgłoszeniu. ICO podkreśla zasadę „report early, update later”. Pierwsze zgłoszenie może zawierać informacje dostępne na danym etapie, a kolejne szczegóły można przekazać później bez zbędnej zwłoki.
Przekroczenie 72 godzin wymaga wyjaśnienia przyczyny opóźnienia.
Jak zdecydować, czy ryzyko jest wystarczające do zgłoszenia?
Trzeba ocenić prawdopodobieństwo i możliwą wagę szkody dla osób. Znaczenie mają między innymi:
- rodzaj danych;
- liczba osób;
- czy dane były zaszyfrowane;
- kto uzyskał dostęp;
- czy ujawnienie można skutecznie cofnąć;
- możliwość kradzieży tożsamości, oszustwa lub dyskryminacji;
- ryzyko szkody finansowej;
- ryzyko dla bezpieczeństwa fizycznego;
- szczególna sytuacja osób, których dane dotyczą.
Jeśli po ocenie jest mało prawdopodobne, by naruszenie powodowało ryzyko dla praw i wolności osób, zgłoszenie do ICO może nie być wymagane. Decyzję i jej uzasadnienie trzeba jednak zachować w dokumentacji.
Przykład niskiego i wysokiego ryzyka
| Incydent | Co wpływa na ocenę |
|---|---|
| Termin wizyty wysłany do złego klienta, odbiorca potwierdza usunięcie | Niewielki zakres danych i możliwość ograniczenia skutków |
| Arkusz z nazwiskami, adresami, numerami dokumentów i danymi finansowymi publicznie dostępny | Duży potencjał kradzieży tożsamości i oszustwa |
| Skradziony zaszyfrowany laptop | Znaczenie ma skuteczność szyfrowania i możliwość dostępu |
| Przejęta skrzynka księgowa z fakturami i dokumentami klientów | Zakres korespondencji, czas dostępu i dane finansowe |
Kiedy trzeba powiadomić klientów lub pracowników?
Jeżeli naruszenie prawdopodobnie powoduje wysokie ryzyko dla praw i wolności osób, należy poinformować osoby dotknięte naruszeniem bez zbędnej zwłoki. Komunikat powinien jasno opisywać charakter naruszenia, możliwe konsekwencje oraz działania podjęte w celu ograniczenia skutków.
Wiadomość powinna też zawierać praktyczne kroki ochronne, jeżeli są potrzebne — na przykład zmianę hasła, wzmożoną uwagę na phishing lub kontakt z bankiem.
Co zrobić w pierwszej godzinie?
- Zatrzymać dalszy wyciek, o ile można to zrobić bez niszczenia dowodów.
- Zabezpieczyć logi, wiadomości i informacje o czasie zdarzeń.
- Zmienić lub unieważnić przejęte dane uwierzytelniające.
- Ustalić, jakie dane i ilu osób mogły zostać objęte incydentem.
- Wyznaczyć jedną osobę prowadzącą chronologię i ocenę ryzyka.
- Rozpocząć licznik 72 godzin i nie czekać na „idealny raport”.
Co zapisać w rejestrze naruszeń?
ICO wymaga prowadzenia dokumentacji naruszeń niezależnie od tego, czy zostały zgłoszone. Rejestr powinien pozwalać odtworzyć fakty, wpływ incydentu i działania naprawcze.
Praktycznie warto zapisać: datę wykrycia, przypuszczalny czas zdarzenia, źródło informacji, rodzaje danych, liczbę osób, systemy objęte incydentem, działania ograniczające skutki, wynik oceny ryzyka, decyzję o zgłoszeniu i daty kolejnych kroków.
Procesor danych też ma obowiązek reagować
Jeżeli firma korzysta z zewnętrznego dostawcy, a naruszenie nastąpi u niego, procesor powinien poinformować administratora bez zbędnej zwłoki. To dlatego umowy z dostawcami IT, księgowością, CRM-em lub hostingiem powinny określać sposób i czas przekazywania informacji o incydencie.
Gdzie zgłosić naruszenie?
ICO udostępnia formularze oraz narzędzie samooceny. Mała firma nie powinna automatycznie zgłaszać każdego drobnego błędu „na wszelki wypadek”, ale też nie powinna ignorować incydentu dlatego, że dotyczy tylko kilku osób. Kryterium stanowi ryzyko, nie wielkość firmy.
Polskich usługodawców działających w Wielkiej Brytanii można przeglądać również w katalogu Polska Firma w UK.