Zgłaszanie naruszeń i DPIA

Naruszenie ochrony danych osobowych to incydent bezpieczeństwa prowadzący do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, ujawnienia lub nieuprawnionego dostępu do danych osobowych.

Jest to pojęcie szersze niż włamanie. Zgubiony laptop, wiadomość e-mail wysłana na niewłaściwy adres, ransomware szyfrujące dane osobowe (powodujące utratę ich dostępności) lub ujawniony zasobnik S3 — wszystkie te sytuacje się kwalifikują.

Naruszenia można przypisać trzem filarom bezpieczeństwa:

• Naruszenie poufności: nieuprawnione ujawnienie lub dostęp
• Naruszenie integralności: nieuprawniona modyfikacja
• Naruszenie dostępności: utrata lub zniszczenie danych (np. wskutek ransomware)

Uznanie, że utrata dostępności również stanowi naruszenie podlegające zgłoszeniu, jest często pomijanym aspektem.

Zgodnie z GDPR administrator musi powiadomić organ nadzorczy o naruszeniu podlegającym zgłoszeniu bez zbędnej zwłoki i w ciągu 72 godzin od uzyskania wiedzy o nim, o ile jest to wykonalne.

KVKK wymaga powiadomienia Rady KVKK tak szybko, jak to możliwe (Rada określiła krótkie terminy). Zegar zaczyna biec od momentu uzyskania wiedzy o naruszeniu, dlatego szybkość wykrywania i wstępnej analizy ma kluczowe znaczenie.

Nie każde naruszenie trzeba zgłaszać organowi nadzorczemu. GDPR uzależnia obowiązek od ryzyka dla osób:

• Powiadom organ, chyba że jest mało prawdopodobne, aby naruszenie skutkowało ryzykiem dla praw i wolności
• Powiadom osoby, których dane dotyczą, gdy naruszenie prawdopodobnie spowoduje wysokie ryzyko

Silne szyfrowanie ujawnionych danych może zmniejszyć ryzyko i może znieść obowiązek powiadomienia osób.

Powiadomienie o naruszeniu kierowane do organu nadzorczego powinno zawierać:

• Charakter naruszenia oraz kategorie i przybliżoną liczbę osób oraz rekordów, których ono dotyczy
• Prawdopodobne konsekwencje
• Środki podjęte lub proponowane w celu rozwiązania problemu i ograniczenia szkód
• Punkt kontaktowy (DPO lub odpowiednik)

Jeśli nie są jeszcze dostępne wszystkie szczegóły, należy przekazywać je etapami, zamiast nie dotrzymać terminu.

Skuteczny proces reagowania na naruszenia należy przećwiczyć z wyprzedzeniem:

• Wykryj i powstrzymaj
• Oceń zakres naruszenia i ryzyko dla osób
• Powiadom organ nadzorczy oraz, w przypadku wysokiego ryzyka, osoby, których dane dotyczą
• Usuń przyczynę źródłową
• Udokumentuj wszystko w rejestrze naruszeń

Nawet naruszenia niepodlegające zgłoszeniu należy rejestrować wewnętrznie zgodnie z zasadą rozliczalności GDPR.

Gdy trzeba poinformować osoby, komunikat powinien być napisany jasnym, zrozumiałym językiem: co się wydarzyło, jakich danych to dotyczy, jakie są prawdopodobne konsekwencje, co Państwo robią i co te osoby powinny zrobić (np. zmienić hasła, uważać na phishing).

Nie należy bagatelizować incydentu. Przejrzyste i szybkie powiadomienie pomaga zachować zaufanie, natomiast zatajenie incydentu potęguje szkody regulacyjne i wizerunkowe.

Ocena skutków dla ochrony danych (DPIA) to ustrukturyzowany proces identyfikowania i ograniczania ryzyka dla prywatności przed rozpoczęciem przetwarzania o wysokim ryzyku.

Przenosi on ochronę prywatności na wcześniejszy etap: zamiast reagować na naruszenia, ocenia się ryzyko i ogranicza je już na etapie projektowania. KVKK zawiera analogiczne oczekiwanie dotyczące oceny ryzyka.

GDPR wymaga przeprowadzenia DPIA, gdy przetwarzanie może powodować wysokie ryzyko, w szczególności w przypadku:

• Systematycznego, rozległego profilowania o istotnych skutkach
• Przetwarzania na dużą skalę danych szczególnych kategorii
• Systematycznego monitorowania obszaru publicznie dostępnego
• Nowych technologii o niepewnym wpływie (np. AI, biometria)

DPIA zazwyczaj:

• Opisuje przetwarzanie i jego cel
• Ocenia niezbędność i proporcjonalność
• Identyfikuje ryzyko dla osób
• Określa środki ograniczające ryzyko (minimalizacja, szyfrowanie, kontrola dostępu)

Jeśli po zastosowaniu środków ograniczających pozostaje wysokie ryzyko rezydualne, administrator musi skonsultować się z organem nadzorczym przed rozpoczęciem przetwarzania.

Gdy podmiot przetwarzający doświadczy naruszenia, musi bez zbędnej zwłoki powiadomić administratora, ponieważ tylko administrator zgłasza naruszenie organowi nadzorczemu i odpowiada za 72-godzinny termin.

Umowy, w tym umowa powierzenia (DPA), muszą określać szybkie zgłaszanie naruszeń przez podmioty przetwarzające. Powolny dostawca może wykorzystać cały termin na powiadomienie, którym dysponuje administrator, dlatego znaczenie mają monitorowanie i umowne SLA.

Sprawdź swoją wiedzę na temat terminów związanych z naruszeniami.

Ukończono temat reagowania na naruszenia i oceny ryzyka:

• Naruszenie obejmuje utratę poufności, integralności lub dostępności
• Bieg 72-godzinnego terminu na zgłoszenie naruszenia zgodnie z RODO rozpoczyna się w chwili powzięcia wiedzy o naruszeniu
• Należy powiadomić osoby, których dane dotyczą, gdy ryzyko jest wysokie; szyfrowanie może ograniczyć obowiązki
• Należy stosować przećwiczony proces wykrywania, ograniczania, oceny, zgłaszania, naprawy i dokumentowania
• DPIA służą ocenie i ograniczaniu ryzyka związanego z przetwarzaniem danych o wysokim ryzyku przed jego rozpoczęciem

Można teraz reagować na incydenty i aktywnie zarządzać ryzykiem naruszenia prywatności.