Wyciek danych nie zawsze trzeba zgłaszać. UODO wskazuje, kiedy jest taki obowiązek

Nie każdy nieuprawniony dostęp do bazy kontrahentów oznacza automatycznie konieczność zawiadomienia Prezesa UODO. Znaczenie ma to, jakie informacje znalazły się poza kontrolą administratora i jakie zagrożenia mogą z tego wyniknąć. Przy naruszeniach dotyczących tysięcy podmiotów szczególnej wagi nabiera rzetelna ocena ryzyka, a nie samo stwierdzenie wycieku.

Zgodnie z art. 33 ust. 1 RODO administrator powinien bez zbędnej zwłoki zgłosić naruszenie organowi nadzorczemu, jeśli może ono powodować ryzyko naruszenia praw lub wolności osób fizycznych. Zgłoszenie nie jest wymagane wtedy, gdy takie ryzyko jest mało prawdopodobne.

Publiczne dane firmy nie zawsze uruchamiają obowiązek zgłoszenia

Samo ujawnienie danych osoby prowadzącej działalność gospodarczą może nie wymagać notyfikacji. Chodzi o informacje, które już wcześniej były dostępne w rejestrze CEIDG, między innymi:

• imię i nazwisko,
• nazwę firmy,
• numer NIP,
• oficjalny adres działalności.

Utrata poufności takich danych co do zasady nie daje osobom nieuprawnionym nowych możliwości działania na szkodę przedsiębiorcy. Administrator nie może jednak poprzestać na ogólnym założeniu, że każdy wyciek danych firmowych jest niegroźny. Powinien osobno przeanalizować zakres incydentu i udokumentować przyjęte wnioski.

Dodatkowe informacje mogą zmienić ocenę naruszenia

Obowiązek zgłoszenia powstaje, gdy ujawnione informacje zwiększają ryzyko oszustwa, kradzieży tożsamości, profilowania albo wykorzystania danych w działaniach socjotechnicznych. Dotyczy to zwłaszcza sytuacji, w których obok danych widocznych w publicznym rejestrze wyciekły także informacje prywatne lub finansowe.

Szczególne zagrożenia wiążą się z ujawnieniem:

• numeru PESEL, który może zostać wykorzystany do kradzieży tożsamości, wyłudzeń lub zaciągania zobowiązań,
• szczegółów zakupów albo usług wskazujących na stan zdrowia lub inne dane szczególnych kategorii,
• informacji finansowych, przydatnych przy oszustwach, przygotowywaniu fałszywych faktur albo nieuprawnionych płatnościach.

Znaczenie ma więc nie tylko liczba ujawnionych rekordów, lecz także zestaw danych przypisanych do konkretnej osoby. Publiczny adres firmy i NIP stanowią inną kategorię ryzyka niż te same informacje połączone z numerem PESEL, historią zakupów lub danymi finansowymi.

Wysokie ryzyko oznacza także kontakt z osobami poszkodowanymi

Jeśli analiza wykaże wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator powinien zawiadomić również osoby, których dane dotyczą. Taki obowiązek wynika z art. 34 RODO i jest odrębny od zgłoszenia incydentu Prezesowi UODO.

Każde naruszenie trzeba ponadto przeanalizować i opisać w dokumentacji. Nawet decyzja o odstąpieniu od zgłoszenia wymaga:

• przeprowadzenia i udokumentowania oceny ryzyka,
• wpisania naruszenia do wewnętrznego rejestru,
• wskazania powodów, dla których administrator uznał, że zgłoszenie nie jest konieczne.

Oznacza to, że brak zgłoszenia nie kończy sprawy. Administrator musi być w stanie wykazać, jakie dane zostały ujawnione, jakie zagrożenia rozważył i dlaczego uznał je za mało prawdopodobne.

na podstawie: Urząd Ochrony Danych Osobowych.