Pracownik zgłasza, że jego notebook został w pociągu. Albo stwierdzają Państwo, że ktoś kliknął w łudząco prawdziwą mailową fakturę i teraz obcy czytają w skrzynce pocztowej. Może po prostu e-mail z listą adresatów trafił do złego kręgu. We wszystkich tych przypadkach może zachodzić naruszenie ochrony danych osobowych — a od chwili, w której się o tym Państwo dowiedzą, biegnie krótki, twardy termin: naruszenie muszą Państwo zgłosić organowi nadzorczemu w miarę możliwości w ciągu 72 godzin. Poniżej wyjaśniamy, kiedy muszą Państwo zgłosić, kiedy dodatkowo poinformować osoby, których dane dotyczą — i jak dobrze poprowadzić pierwsze godziny, zamiast pozwolić, by termin upłynął niezauważony.
Urządzenie z danymi klientów, aktami osobowymi albo dostępami zniknęło — zgubione, zostawione, skradzione. Czy powstaje z tego naruszenie podlegające zgłoszeniu, zależy rozstrzygająco od tego, czy dane były chronione: zaszyfrowane, czysto zablokowane urządzenie to coś zupełnie innego niż otwarty dysk z adresami w postaci jawnej.
Ktoś kliknął w podrobiony mail, obcy czytają w skrzynce pocztowej albo Państwa pliki są zaszyfrowane. Tu w grze jest obcy dostęp i możliwy wyciek danych — często z wysokim ryzykiem dla osób, których dane dotyczą. Właśnie te przypadki podlegają zgłoszeniu i często pociągają za sobą także obowiązek ostrzeżenia osób, których dane dotyczą.
Otwarta lista zamiast ukrytej kopii, faktura do złego odbiorcy, dokumenty do niewłaściwej teczki. Takie „drobne" wpadki wydają się nieszkodliwe, są jednak również naruszeniami w rozumieniu rozporządzenia. Czy trzeba zgłaszać, rozstrzyga ocena ryzyka — udokumentować incydent trzeba w każdym przypadku.
Pojęcie jest szersze, niż wielu sądzi. Naruszenie ochrony danych osobowych to każde naruszenie bezpieczeństwa, które — niezależnie od tego, czy niezamierzone, czy bezprawne — prowadzi do zniszczenia, utraty, modyfikacji lub nieuprawnionego ujawnienia bądź nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych (art. 4 pkt 12 RODO). Nie chodzi więc tylko o spektakularny atak hakerski. Podpadają pod to również zgubiony pendrive, przypadkowo skasowany jedyny plik klienta, pożar w serwerowni bez kopii zapasowej czy mail do złej listy dystrybucyjnej.
Ważny jest zakres: „utrata" oznacza nie tylko kradzież przez osoby trzecie, lecz także zwykłe zaginięcie, a nawet trwałą niedostępność — gdy np. szyfrowanie przez ransomware uczyni Państwa własne dane nieosiągalnymi. A „nieuprawnione ujawnienie" zachodzi już wtedy, gdy jedna obca osoba uzyska wgląd w dane, które nie były dla niej przeznaczone. Pierwszym krokiem w każdym incydencie jest dlatego trzeźwe pytanie: czy dotknięte są dane osobowe i czy zostały utracone, zmienione albo udostępnione komuś, kto nie mógł ich zobaczyć?
Gdy zachodzi naruszenie, wchodzi w grę centralny obowiązek: w przypadku naruszenia ochrony danych osobowych administrator zgłasza je właściwemu organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia (art. 33 ust. 1 RODO). Całe znaczenie dźwigają tu dwa elementy. „Bez zbędnej zwłoki" znaczy: niezwłocznie, bez zawinionego ociągania — 72 godziny to granica zewnętrzna, a nie Państwa budżet czasu. A zegar startuje wraz ze stwierdzeniem naruszenia: nie dopiero, gdy w pełni wyjaśnią Państwo incydent, lecz gdy tylko z dostateczną pewnością wiedzą, że naruszenie nastąpiło.
Jest wyjątek i jest wąski: zgłoszenie odpada, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO). To prognoza, którą muszą Państwo postawić i uzasadnić — a która w razie wątpliwości obróci się na Państwa niekorzyść, jeśli nie zostanie czysto udokumentowana. Kto przekroczy termin, musi ponadto dołączyć do zgłoszenia wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 RODO). Rozporządzenie wprost przewiduje więc, że zgłasza się także z opóźnieniem — opóźnione i uzasadnione jest zawsze lepsze niż żadne.
Co ma zawierać zgłoszenie, określa rozporządzenie. Zawiera ono co najmniej opis charakteru naruszenia — w miarę możliwości z kategoriami i przybliżoną liczbą osób oraz rekordów danych, których dotyczy — imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego, opis możliwych konsekwencji oraz środków podjętych lub proponowanych w celu zaradzenia naruszeniu i złagodzenia jego skutków (art. 33 ust. 3 RODO). A ponieważ w pierwszych godzinach często nie wszystko jest ustalone: jeżeli informacje nie mogą zostać udzielone w tym samym czasie, mogą je Państwo bez zbędnej zwłoki udzielać stopniowo (art. 33 ust. 4 RODO). To zdejmuje presję, by wiedzieć wszystko naraz — nie zwalnia jednak z obowiązku, by zacząć w terminie.
Praktyka Najdroższa pułapka to pozwolić, by 72 godziny upłynęły — z lęku przed zgłoszeniem albo dlatego, że chce się być najpierw „całkiem pewnym", czy naprawdę jest wystarczająco źle. Właśnie to rozporządzenie odwraca: chce ono wczesnego, w razie potrzeby niepełnego zgłoszenia z uzupełnieniem, nie zaś późnego doskonałego. Niech Państwo natychmiast zanotują moment, w którym dowiedzieli się o incydencie — od tej godziny biegnie termin, a ten jeden znacznik czasu rozstrzyga później o tym, czy było na czas, czy z opóźnieniem.
Zgłoszenie organowi i poinformowanie osób, których dane dotyczą, to dwa różne obowiązki o różnych progach. Organowi zgłaszają Państwo już wtedy, gdy nie da się wykluczyć ryzyka. Same osoby, których dane dotyczą, muszą Państwo zawiadomić dopiero, gdy naruszenie prawdopodobnie skutkuje wysokim ryzykiem dla ich praw i wolności — wtedy jednak również bez zbędnej zwłoki (art. 34 ust. 1 RODO). Zawiadomienie to musi nastąpić jasnym i prostym językiem oraz zawierać te same kluczowe dane, co zgłoszenie do organu: punkt kontaktowy, możliwe konsekwencje, podjęte środki (art. 34 ust. 2 RODO).
Są wyjątki od tego zawiadomienia, a praktycznie najważniejszy nagradza prewencję: nie muszą Państwo informować osób, których dane dotyczą, jeśli wdrożyli Państwo odpowiednie techniczne i organizacyjne środki ochrony, które czynią dane nieczytelnymi dla osób nieuprawnionych — w szczególności szyfrowanie (art. 34 ust. 3 lit. a RODO). Kto zaszyfrował zgubiony laptop, stoi więc inaczej niż ten, którego dane w postaci jawnej leżą otworem. Obowiązek odpada również, gdy przez środki następcze zapewnili Państwo, że wysokie ryzyko z wszelkim prawdopodobieństwem już nie występuje (lit. b), albo gdy indywidualne zawiadomienie wymagałoby niewspółmiernego wysiłku — wtedy zastępuje je publiczny komunikat (lit. c).
Praktycznie oznacza to dwustopniową ocenę ryzyka, którą i tak przeprowadzą Państwo dla zgłoszenia: czy w ogóle istnieje ryzyko? Wtedy zgłoszenie do organu. Czy ryzyko jest wręcz wysokie? Wtedy dodatkowo ostrzec osoby, których dane dotyczą — chyba że wchodzi jeden z wyjątków. Utrwalenie tej oceny na piśmie nie jest celem samym w sobie, lecz dowodem, że zdecydowali Państwo prawidłowo.
Jest obowiązek, który obowiązuje zawsze, niezależnie od jakiegokolwiek zgłoszenia, a mimo to najczęściej się go przeocza: administrator dokumentuje naruszenia ochrony danych osobowych wraz ze wszystkimi związanymi z nimi faktami, ich skutkami oraz podjętymi działaniami zaradczymi — i to tak, by organ nadzorczy mógł zweryfikować przestrzeganie przepisu (art. 33 ust. 5 RODO). Obowiązek ten nie zna progu bagatelnego. Także naruszenie, którego po starannym zbadaniu nie musieli Państwo zgłosić, bo prawdopodobnie nie niosło ryzyka, musi trafić do Państwa wewnętrznej dokumentacji — wraz z uzasadnieniem, dlaczego zrezygnowali Państwo ze zgłoszenia.
Praktyka Niech Państwo prowadzą prosty rejestr naruszeń: co się stało, kiedy zostało stwierdzone, jakich danych i ilu osób dotyczy, jakie środki natychmiastowe podjęto, jak wypadła ocena ryzyka i czy zgłoszono lub zawiadomiono — z uzasadnieniem, jeśli nie. Właśnie to jest pułapka, którą wielu dostrzega dopiero po fakcie: kto drobnych, niezgłoszonych naruszeń nigdzie nie utrwala, nie może później pokazać organowi, że w ogóle je ocenił — i stoi gorzej niż ten, kto otwarcie dokumentuje i z uzasadnieniem nie zgłosił.
Wiele naruszeń zdarza się nie u Państwa, lecz u usługodawcy IT, dostawcy chmury, biura płac albo firmy wysyłającej newsletter — u Państwa podmiotu przetwarzającego. Dla terminów istotne jest, kto ma jaką rolę: gdy podmiot przetwarzający dowie się o naruszeniu, zgłasza je Państwu jako administratorowi bez zbędnej zwłoki (art. 33 ust. 2 RODO). Zgłoszenie organowi nadzorczemu i ewentualne zawiadomienie osób, których dane dotyczą, pozostają wtedy Państwa obowiązkiem — a zegar 72 godzin zaczyna dla Państwa biec z reguły z chwilą, gdy usługodawca Państwa poinformuje.
Wynika z tego praktyczny punkt, który lepiej wyjaśnić przed naruszeniem: Państwa umowa powierzenia przetwarzania (Auftragsverarbeitungsvertrag) powinna określać, jak szybko i z jakimi informacjami usługodawca zawiadamia Państwa w sytuacji poważnej. Dostawca, który poinformuje Państwa dopiero po dniach i bez użytecznych danych, naraża Państwa własny termin, zanim to Państwo w ogóle zauważą. Ścieżka zgłoszeniowa należy dlatego do umowy i do planu awaryjnego — nie do improwizacji w dniu incydentu.
Obowiązki zgłoszenia i zawiadomienia nie są pozbawione konsekwencji. Naruszenie obowiązków administratora i podmiotu przetwarzającego z właściwych artykułów — w tym obowiązków zgłoszenia i zawiadomienia z art. 33 i art. 34 — może zostać ukarane grzywną do 10 milionów euro lub, w przypadku przedsiębiorstwa, do 2 procent całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 83 ust. 4 lit. a RODO). Dla przedsiębiorstw średniej wielkości miarodajną górną granicą jest z reguły stała kwota 10 milionów euro; miara obrotu wchodzi dopiero przy bardzo dużych koncernach, których 2 procent rocznego obrotu leży wyżej.
Dochodzi do tego strona cywilnoprawna: komu wskutek naruszenia rozporządzenia powstała szkoda majątkowa lub niemajątkowa, ma prawo do odszkodowania od administratora lub podmiotu przetwarzającego (art. 82 ust. 1 RODO). Właśnie po nieobsłużonych albo przeciąganych naruszeniach roszczenia pojedynczych osób, których dane dotyczą, mogą się tu sumować. Oba ryzyka — nadzorcze i odpowiedzialnościowe — zależą w praktyce silnie od tego, jak Państwo zareagowali: wczesne zgłoszenie, uczciwa ocena ryzyka i czysta dokumentacja działają na Państwa korzyść; przemilczanie i przeczekiwanie działają w drugą stronę.
Najpierw niech Państwo zabezpieczą sytuację: zablokować dostępy, zmienić skompromitowane hasła, odłączyć dotknięte systemy od sieci, zdalnie zablokować lub wymazać zgubione urządzenie. Im szybciej zatrzymają Państwo wyciek, tym prędzej da się ograniczyć ryzyko — i tym korzystniej wypadnie później ocena.
Niech Państwo natychmiast zanotują, kiedy i przez co dowiedzieli się o incydencie. Od tej chwili biegnie termin 72 godzin z art. 33 ust. 1 RODO. Ten jeden znacznik czasu rozstrzyga później, czy Państwa zgłoszenie było w terminie — nie da się go zrekonstruować z mocą wsteczną.
Niech Państwo najpierw zbadają, czy w ogóle istnieje ryzyko dla osób, których dane dotyczą (wtedy zgłoszenie do organu), a następnie, czy jest ono wręcz wysokie (wtedy dodatkowo zawiadomienie osób, których dane dotyczą, art. 34 RODO). Niech Państwo utrwalą, jakich danych, ilu osób i jakich możliwych konsekwencji dotyczy — to zarazem trzon Państwa późniejszego zgłoszenia.
Gdy w grze jest ryzyko, niech Państwo zgłoszą bez zbędnej zwłoki i w ciągu 72 godzin, w razie potrzeby z danymi wstępnymi i uzupełnieniem (art. 33 ust. 4 RODO). Jeśli nie zdołają Państwo dochować terminu, i tak niech Państwo zgłoszą — z wyjaśnieniem przyczyn opóźnienia (art. 33 ust. 1 RODO).
Niech Państwo utrwalą na piśmie przebieg, ocenę i środki, niezależnie od tego, czy zgłaszają, czy zawiadamiają (art. 33 ust. 5 RODO). Rezygnując ze zgłoszenia, niech Państwo włożą do tych samych akt uzasadnienie. To dowód, który utrzyma Państwa wobec organu nadzorczego.
Właśnie dlatego, że zegar biegnie, pierwsze ustawienie zwrotnicy rozstrzyga o zgłoszeniu, zawiadomieniu i odpowiedzialności. Niech Państwo zlecą zbadanie oceny ryzyka i ścieżki zgłoszeniowej, dopóki termin jest jeszcze otwarty — nie dopiero, gdy organ nadzorczy zapyta.
Dwa bardzo różne ryzyka trzeba rozdzielić. Jedno to ryzyko nadzorcze: naruszenie obowiązku zgłoszenia lub zawiadomienia może pociągnąć grzywnę, której ramy sięgają do 10 milionów euro lub 2 procent światowego rocznego obrotu (art. 83 ust. 4 RODO) — rzeczywista wysokość zależy od wagi, umyślności, Państwa środków ochronnych i Państwa współdziałania. Drugie to dochodzenie roszczeń cywilnych przez osoby, których dane dotyczą, żądające szkody majątkowej lub niemajątkowej (art. 82 RODO). Oba ryzyka da się wyraźnie stłumić prawidłową reakcją w pierwszych godzinach.
Stałych cen ryczałtowych świadomie nie podajemy: czy chodzi o pilne towarzyszenie ostremu naruszeniu w biegnącym terminie, o późniejsze opracowanie incydentu, czy o przygotowanie z planem awaryjnym i wzorami dokumentacji, dla nakładu i pilności robi to całą różnicę. Rząd wielkości poznają Państwo, gdy tylko dowiemy się, o co chodzi — a z reguły szybka, prawidłowa reakcja jest wyraźnie tańsza niż naprawa przeciąganego zgłoszenia.
Od stwierdzenia naruszenia — czyli gdy tylko z dostateczną pewnością wiedzą Państwo, że nastąpiło naruszenie ochrony danych osobowych, a nie dopiero po pełnym wyjaśnieniu (art. 33 ust. 1 RODO). Dlatego tak ważne jest, by natychmiast utrwalić moment stwierdzenia. „Bez zbędnej zwłoki" znaczy przy tym: bez zawinionego ociągania; 72 godziny to granica zewnętrzna, a nie Państwa budżet czasu.
Nie. Zgłoszenie organowi nadzorczemu odpada, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO). Tę prognozę muszą jednak postawić i uzasadnić Państwo sami — a incydent mimo to udokumentować wewnętrznie (art. 33 ust. 5 RODO). Niepodlegające zgłoszeniu nie znaczy więc bez konsekwencji: ocena i jej uzasadnienie należą do Państwa akt.
Gdy naruszenie prawdopodobnie skutkuje wysokim ryzykiem dla praw i wolności osób, których dane dotyczą, muszą je Państwo zawiadomić bez zbędnej zwłoki (art. 34 ust. 1 RODO). Są wyjątki — np. gdy dane były skutecznie chronione, w szczególności zaszyfrowane, albo gdy wysokie ryzyko usunęli Państwo środkami następczymi (art. 34 ust. 3 RODO). Próg zawiadomienia osób, których dane dotyczą, leży więc wyżej niż próg zgłoszenia do organu.
I tak niech Państwo zgłoszą — opóźnione i uzasadnione jest lepsze niż żadne. Jeśli zgłoszenie nie nastąpi w ciągu 72 godzin, należy dołączyć do niego wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 RODO). Przeciągane lub zaniechane zgłoszenie może zostać ukarane grzywną jako naruszenie (art. 83 ust. 4 RODO); osoby, których dane dotyczą, mogą ponadto żądać odszkodowania (art. 82 RODO). Jak zadziała opóźnienie, zależy silnie od Państwa uzasadnienia i całej reakcji.
Państwa podmiot przetwarzający musi zgłosić Państwu naruszenie bez zbędnej zwłoki (art. 33 ust. 2 RODO); zgłoszenie organowi nadzorczemu i ewentualne zawiadomienie osób, których dane dotyczą, pozostają Państwa obowiązkiem jako administratora. Praktycznie znaczy to: niech Państwo uregulują w umowie powierzenia przetwarzania, jak szybko i z jakimi danymi usługodawca Państwa informuje — inaczej jego zwłoka narazi Państwa własny termin.
Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48. Zwłaszcza gdy naruszenie jest świeże, a biegnie termin 72 godzin, liczy się każda godzina — niech Państwo opiszą sprawę raczej od razu, zanim przejdą do zgłoszenia.
„Przy naruszeniu ochrony danych rozstrzyga nie doskonałe zgłoszenie, lecz szybkie — kto utrwali moment stwierdzenia, uczciwie oceni ryzyko i w razie potrzeby zgłosi stopniowo, sam odbiera sobie największe ryzyko", mówi adwokat Sebastian Müller.
Ten artykuł dotyczy naruszenia ochrony danych i obowiązku zgłoszenia w Niemczech. Jeśli dopiero porządkują Państwo strukturę spółki, przedstawiamy pułapki organów w tekstach Odpowiedzialność członka zarządu w Niemczech, Rejestr handlowy w Niemczech oraz Założenie GmbH w Niemczech — wszystkie w świecie Spółki i odpowiedzialność.
Proszę krótko opisać, o co chodzi — otrzymają Państwo pierwszą ocenę. Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48.
Opisz swoją sprawę