Piątek, 15:40. Kadrowa pisze, że wysłała plik z listą płac za październik do klienta zamiast do biura rachunkowego, bo Outlook podpowiedział podobny adres. Ktoś mówi „zadzwońmy, żeby skasował, i sprawa załatwiona". Ktoś inny słyszał o 72 godzinach i karach. Do poniedziałku nikt nic nie robi.
Ten tekst pozwoli ci w ciągu dwóch godzin od zdarzenia podjąć jedną z trzech decyzji: wpis tylko do wewnętrznego rejestru, zgłoszenie do Prezesa UODO, albo zgłoszenie do UODO i zawiadomienie osób, których dane wyciekły. Nie zastąpi to prawnika ani inspektora ochrony danych, ale sprawi, że nie przegapisz terminu i będziesz miał fakty, o które oni zapytają.
Zegar startuje wcześniej, niż myślisz
Artykuł 33 RODO mówi, że administrator zgłasza naruszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia (źródło: RODO, tekst w EUR-Lex). 72 godziny to godziny zegarowe, nie robocze. Mail wysłany w piątek o 15:40 daje ci czas do poniedziałku do 15:40.
„Stwierdzenie" to moment, w którym firma ma wiarygodną informację, że dane trafiły tam, gdzie nie powinny. Nie moment, w którym informatyk skończy analizę. Jeśli kadrowa wie w piątek, to firma wie w piątek.
Trzy rzeczy, które ludzie mylą najczęściej:
- Brak winy nie znaczy brak naruszenia. UODO wprost pisze, że mail, który trafił do innej osoby, jest naruszeniem poufności, nawet jeśli adres wpisano poprawnie, a błąd leżał po stronie dostawcy poczty (źródło: Biuletyn UODO).
- „Odbiorca obiecał skasować" nie zamyka sprawy. Zmniejsza ryzyko i to wpisujesz do oceny, ale naruszenie już się wydarzyło.
- Każde naruszenie trafia do rejestru. Nawet to, którego nie zgłaszasz. Art. 33 ust. 5 RODO wymaga dokumentowania wszystkich naruszeń: co się stało, jakie skutki, co zrobiłeś.
Zgłoszenie składasz elektronicznie przez formularz na biznes.gov.pl albo na skrzynkę ePUAP UODO (źródło: UODO, zgłaszanie naruszeń). Jeśli nie znasz wszystkich faktów, zaznaczasz „zgłoszenie wstępne" i uzupełniasz później. Brak kompletu informacji nie usprawiedliwia czekania.
Trzy pytania, które rozstrzygają decyzję
RODO rozróżnia trzy poziomy: naruszenie, które raczej nie powoduje ryzyka (tylko rejestr), naruszenie z ryzykiem (zgłoszenie do UODO) i naruszenie z wysokim ryzykiem (zgłoszenie plus zawiadomienie osób, art. 34). Żeby wiedzieć, gdzie jesteś, odpowiedz na papierze na trzy pytania.
1. Jakie dane wyszły? Imię, nazwisko i firmowy mail kontrahenta to inna waga niż PESEL, numer konta, wynagrodzenie, zwolnienie lekarskie czy dane o zdrowiu. Lista płac z PESEL-ami i kwotami prawie zawsze oznacza co najmniej zgłoszenie do UODO.
2. Do kogo trafiły i czy da się je odzyskać? Znany kontrahent z umową o poufności, który pisemnie potwierdził usunięcie, to niższe ryzyko niż prywatny adres Gmail, którego właściciela nie znasz. Pendrive zgubiony w pociągu to „nie wiadomo kto". Folder w chmurze udostępniony „każdemu z linkiem" przez trzy miesiące to też „nie wiadomo kto".
3. Czy dane były czytelne? Plik zaszyfrowany hasłem przekazanym innym kanałem albo laptop z włączonym BitLockerem zmieniają ocenę. Art. 34 ust. 3 RODO zwalnia z zawiadamiania osób, jeśli dane były zabezpieczone tak, że są nieczytelne dla osoby nieuprawnionej. Dlatego szyfrowanie laptopów to w praktyce różnica między wpisem do rejestru a pismem do kilkudziesięciu osób.
Praktyczna reguła, którą stosujemy w projektach: jeśli po tych trzech pytaniach masz wątpliwość, zgłaszasz. Zgłoszenie wstępne zajmuje około godziny. Nieuzasadniony brak zgłoszenia to osobne naruszenie, za które Prezes UODO może nałożyć karę niezależnie od samego wycieku.
Dwa przypadki z firm, z którymi pracowaliśmy
Dobrze: biuro rachunkowe, 14 osób. Pracownica wysłała zestawienie wynagrodzeń 23 pracowników jednego klienta (imiona, nazwiska, PESEL, kwoty brutto) do innego klienta biura. Zauważyła to po 40 minutach, bo odbiorca odpisał. Właścicielka miała jednostronicową procedurę: kto ocenia, kto pisze zgłoszenie, gdzie jest szablon. Ponieważ administratorem danych pracowników był klient, a biuro tylko podmiotem przetwarzającym, biuro zawiadomiło klienta w ciągu godziny (art. 33 ust. 2 RODO). W 3 godziny klient miał pisemne potwierdzenie usunięcia od odbiorcy, opis zdarzenia i projekt zgłoszenia. Zgłoszenie wstępne na biznes.gov.pl poszło tego samego dnia, a oba podmioty wpisały zdarzenie do swoich rejestrów. Koszt: około 6 godzin pracy właścicielki i IOD, czyli w okolicach 1–2 tys. zł. Później biuro włączyło w Microsoft 365 opóźnienie wysyłki o 2 minuty dla działu płac i wyłączyło autouzupełnianie adresów zewnętrznych. Lekcja: najtrudniejsze okazało się ustalenie, kto jest administratorem. Gdyby to było spisane w umowach powierzenia, oszczędziliby godzinę.
Źle: firma handlowa, 28 osób, Subiekt nexo i Microsoft 365. Handlowiec udostępnił w OneDrive folder z eksportem kartoteki klientów, około 1900 osób fizycznych prowadzących działalność, z telefonami i adresami prywatnymi, przez link „każdy, kto ma link". Link krążył w mailach przez cztery miesiące. Odkryto to przypadkiem przy porządkowaniu uprawnień. Zarząd przez tydzień dyskutował, czy „to w ogóle wyciek", bo nie było dowodu, że ktoś obcy otworzył plik. Zgłoszenie poszło po 9 dniach, z wyjaśnieniem opóźnienia. Do tego doszły 2 dni pracy zewnętrznego prawnika (około 5–8 tys. zł), przegląd wszystkich udostępnień w tenancie (3 dni pracy, około 6 tys. zł) i trzy tygodnie odpowiadania na pytania klientów. Lekcja: logi dostępu do pliku w Microsoft 365 były dostępne od pierwszego dnia i pokazałyby, kto otwierał link. Nikt ich nie sprawdził, bo nikt nie wiedział, że istnieją. Dziś zaczęlibyśmy od nich, w pierwszej godzinie.
Co może pójść nie tak i ile to kosztuje
Zgłoszenie do UODO nie jest darmowe, nawet jeśli formularz jest bezpłatny. Bądź na to przygotowany:
- UODO może zadać pytania. Typowo dostajesz pismo z prośbą o wyjaśnienia i dokumenty: rejestr, ocenę ryzyka, procedury. Jeśli ich nie masz, przygotowanie zajmuje zwykle 2–5 dni pracy jednej osoby.
- Zawiadomienie osób to praca operacyjna. Pismo do 23 osób to pół dnia. Do 1900 osób to korespondencja seryjna, infolinia na kilka dni i pytania, na które ktoś musi odpowiadać tym samym językiem.
- Prawnik i IOD. Jeśli nie masz inspektora na stałe, doraźna pomoc przy jednym incydencie to zwykle 2–8 tys. zł, zależnie od skali.
- Najdroższy błąd to zwłoka. Opóźnione zgłoszenie musisz uzasadnić. „Nie wiedzieliśmy, że trzeba" nie jest uzasadnieniem.
Kiedy zgłoszenie nie ma sensu: gdy dane były zaszyfrowane, a klucz nie wyciekł, gdy wyszły wyłącznie dane służbowe kontaktowe (imię, nazwisko, służbowy mail) do znanego kontrahenta, który potwierdził usunięcie, albo gdy dane w ogóle nie opuściły firmy, na przykład plik trafił do niewłaściwego pracownika z tego samego działu z takim samym dostępem. Wtedy robisz porządny wpis w rejestrze z uzasadnieniem i na tym kończysz. Uzasadnienie musi być na piśmie, bo przy ewentualnej kontroli będziesz z niego rozliczany.
Tańsza alternatywa dla „zawsze dzwoń do prawnika": jednostronicowa procedura i szablon oceny ryzyka przygotowane raz, z IOD albo prawnikiem, za zwykle 2–4 tys. zł i 1–2 tygodnie. Przy pierwszym incydencie zwraca się w godzinach, które zaoszczędzisz. Dobrze jest ją przećwiczyć na sucho, tak jak w ćwiczeniu tabletop.
Co zrobić w tym tygodniu
- Sprawdź, czy masz rejestr naruszeń. Jeśli nie, załóż arkusz z kolumnami: data stwierdzenia, co się stało, jakie dane, ile osób, ocena ryzyka, decyzja i uzasadnienie, działania.
- Wpisz na jedną kartkę: kto w firmie decyduje o zgłoszeniu, kto ma Profil Zaufany lub podpis do złożenia formularza na biznes.gov.pl, jaki jest numer do IOD lub prawnika. Powieś ją tam, gdzie siedzi kadrowa i księgowość.
- Otwórz w Microsoft 365 albo Google Workspace raport udostępnień zewnętrznych i policz linki typu „każdy, kto ma link" do folderów z danymi osobowymi.
- Sprawdź w dwóch–trzech umowach z biurem rachunkowym, firmą kadrową czy dostawcą CRM, kto jest administratorem, a kto podmiotem przetwarzającym, i w jakim czasie muszą cię zawiadomić o incydencie.
- Zapytaj kadry i księgowość, czy w ostatnim roku wysłali coś do złej osoby. Jeśli tak, a nie ma tego w rejestrze, wpisz to teraz.
Każde naruszenie wpisujesz do rejestru, ryzykowne zgłaszasz do UODO w 72 godziny zegarowe, a o wysokim ryzyku zawiadamiasz osoby. O tym, gdzie jesteś, decydują trzy pytania: jakie dane, do kogo i czy były czytelne. Przy wątpliwości zgłaszasz wstępnie i uzupełniasz później.