Najczęstsze naruszenia ochrony danych osobowych to w praktyce: wysłanie danych do niewłaściwego odbiorcy (błędny adresat e-maila, adresy w polu DW zamiast UDW), zgubienie lub kradzież nośnika (laptop, telefon, pendrive bez szyfrowania), ataki phishingowe i ransomware, nieuprawniony dostęp pracownika do danych oraz przypadkowe upublicznienie danych (źle skonfigurowany serwer, dokumenty w koszu na śmieci). Brzmi zwyczajnie? Właśnie dlatego te naruszenia są najczęstsze — większość incydentów to nie hakerzy, tylko codzienne błędy ludzi i procesów.
Czym w ogóle jest naruszenie ochrony danych?
Definicję zawiera art. 4 pkt 12 RODO: naruszenie to incydent prowadzący do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych. Kluczowe słowo: „przypadkowego” — do naruszenia nie potrzeba złej woli ani ataku. Pomyłka pracownika jest naruszeniem dokładnie tak samo jak włamanie.
Naruszenia dzieli się na trzy typy: naruszenie poufności (ktoś nieuprawniony zobaczył dane), naruszenie integralności (dane zostały zmienione) i naruszenie dostępności (dane przepadły lub są niedostępne — np. po ataku ransomware, nawet gdy nikt ich nie wykradł).
Najczęstsze naruszenia — konkretne przykłady
1. E-mail do złego odbiorcy. Klasyka i statystycznie numer jeden: faktura z danymi klienta A wysłana do klienta B, lista płac do całego działu zamiast do księgowej, newsletter z adresami w polu DW — każdy odbiorca widzi wszystkich pozostałych.
2. Zgubiony lub skradziony sprzęt. Laptop z bazą klientów zostawiony w pociągu, pendrive z dokumentacją kadrową. Jeśli nośnik był zaszyfrowany, ryzyko bywa pomijalne; jeśli nie — to poważne naruszenie z obowiązkiem zawiadomienia osób.
3. Phishing i ransomware. Pracownik klika w link, przestępcy przejmują skrzynkę lub szyfrują serwery. Ransomware to naruszenie nawet bez wycieku — utrata dostępności danych też podlega zgłoszeniu.
4. Nadmiarowy dostęp i wścibscy pracownicy. Rejestratorka sprawdzająca dane znajomego w systemie, handlowiec kopiujący bazę klientów przed odejściem z firmy. Dostęp „bo się dało” to naruszenie — dlatego tak ważne są uprawnienia ograniczone do niezbędnego minimum.
5. Przypadkowe upublicznienie. Dokumenty z danymi w ogólnodostępnym koszu, lista uczestników wywieszona na drzwiach, otwarty katalog na serwerze, arkusz Google „dla każdego, kto ma link”.
6. Błędy niszczenia danych. Sprzedany komputer z niewyczyszczonym dyskiem, dokumentacja wyrzucona bez niszczarki.
Doszło do naruszenia — co dalej?
Procedura z RODO jest jasna i ma ostre terminy. Najpierw oceń ryzyko dla osób, których dane dotyczą. Jeśli ryzyko istnieje — masz 72 godziny od stwierdzenia naruszenia na zgłoszenie go do Prezesa UODO (piszemy o tym szerzej w artykule ile jest czasu na zgłoszenie naruszenia). Jeśli ryzyko jest wysokie — dodatkowo zawiadamiasz każdą osobę, której dane objęło naruszenie. Niezależnie od zgłoszenia, każde naruszenie — nawet niezgłaszane — trafia do wewnętrznego rejestru naruszeń.
Gdzie dokładnie zgłosić i jak wygląda formularz — sprawdź w tekście gdzie można zgłosić naruszenie RODO.
Co to oznacza w praktyce dla firmy?
Skoro większość naruszeń to błędy ludzkie, najskuteczniejsza ochrona jest nudna: szkolenia (szczególnie z phishingu i obsługi poczty), uprawnienia ograniczone do minimum, szyfrowanie nośników, dwuskładnikowe logowanie i przećwiczona procedura reagowania. W momencie incydentu liczy się czas — firma, która ma gotowy scenariusz i osobę odpowiedzialną (IOD), mieści się w 72 godzinach bez paniki. Firma, która improwizuje, zwykle przekracza termin albo podejmuje złe decyzje o (nie)zgłaszaniu — a oba błędy potrafią kosztować więcej niż samo naruszenie.
Najczęstsze pytania o naruszenia danych
Czy każde naruszenie trzeba zgłaszać do UODO?
Nie. Zgłasza się naruszenia, które powodują ryzyko dla praw i wolności osób. Jeśli ryzyko jest mało prawdopodobne (np. zgubiony, ale zaszyfrowany laptop), wystarczy wpis do wewnętrznego rejestru z uzasadnieniem.
Od kiedy liczy się 72 godziny?
Od stwierdzenia naruszenia, czyli momentu, w którym organizacja nabrała rozsądnej pewności, że do niego doszło — nie od momentu, gdy incydent fizycznie się wydarzył.
Czy pracownik odpowiada za naruszenie, które spowodował?
Wobec UODO odpowiada administrator (firma). Pracownik może ponieść odpowiedzialność porządkową lub — przy działaniu umyślnym — karną, ale kary administracyjne RODO obciążają organizację.
Czy naruszeniem jest sytuacja bez wycieku, np. zaszyfrowanie danych przez ransomware?
Tak — utrata dostępności danych to pełnoprawne naruszenie, które podlega ocenie ryzyka i ewentualnemu zgłoszeniu.
Miałeś incydent albo chcesz się na niego przygotować?
Obsługa naruszeń — od oceny ryzyka, przez zgłoszenie do UODO, po komunikację z osobami — to jedno z głównych zadań zewnętrznego IOD. Reagujemy od razu, a przy stałej współpracy incydenty obsługujemy w ramach abonamentu. Zobacz, jak działa outsourcing funkcji IOD, albo skontaktuj się z nami — także pilnie, jeśli incydent właśnie trwa.