Rejestr naruszeń ochrony danych osobowych

Zgodnie z art. 4 pkt 2 RODO przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych, lub zestawach danych osobowych, w sposób zautomatyzowany lub niezautomatyzowany, takich jak:

• utrwalanie,

• zbieranie,

• porządkowanie,

• organizowanie,

• pobieranie,

• przechowywanie,

• modyfikowanie lub adaptowanie,

• wykorzystywanie,

• przeglądanie,

• ujawnianie poprzez przesłanie,

• dopasowywanie lub łączenie,

• rozpowszechnianie lub innego rodzaju udostępnianie,

• usuwanie lub niszczenie.

Naruszenie ochrony danych osobowych oznacza naruszenie bezpieczeństwa, które prowadzi do przypadkowego lub niezgodnego z prawem:

• utracenia,

• zniszczenia,

• zmodyfikowania,

• nieuprawnionego ujawnienia lub nieuprawnionego dostępu do

danych osobowych przechowywanych, przesyłanych lub w inny sposób przetwarzanych (art. 4 pkt 12 RODO).

W praktyce oznacza to, że czyny skutkujące naruszeniem danych osobowych można podzielić na umyślne i nieumyślne.

Drugi wniosek, jaki płynie z przytoczonej definicji naruszenia ochrony danych osobowych, jest taki, że nie każdy incydent związany z ochroną danych osobowych stanowi naruszenie w rozumieniu rozporządzenia, a jedynie taki czyn, który prowadzi do naruszenia integralności, poufności lub dostępności danych osobowych.

We wspomnianym wcześniej art. 33 RODO znajduje się podstawa prawna do dokumentowania naruszeń z zakresu ochrony danych osobowych. Zgodnie z art. 33 ust. 1 RODO w sytuacji, gdy miejsce ma naruszenie ochrony danych osobowych, administrator bez zbędnej zwłoki, a w miarę możliwości nie później niż w czasie 72 godzin po stwierdzeniu naruszenia, zgłasza je do Prezesa Urzędu Ochrony Danych Osobowych.

W tym miejscu należy jedynie wspomnieć, że nie każde naruszenie należy zgłaszać do organu nadzorczego. W dalszej części zostanie dokładnie wyjaśnione, jakiego rodzaju naruszenia ochrony danych osobowych mogą mieć miejsce i które z nich podlegają zgłoszeniu.

Czy na podmiocie przetwarzającym ciąży obowiązek zgłaszania naruszeń?

Warto rozróżnić między sytuacją, gdy dane osobowe należą do określonego podmiotu (który wówczas jest administratorem), a sytuacją, gdy zostały mu tylko powierzone do przetwarzania. Rozporządzenie wyraźnie bowiem różnicuje obowiązki administratora oraz podmiotu przetwarzającego, czyli osoby fizycznej lub prawnej, organu publicznego jednostki lub innego podmiotu, który przetwarza dane osobowe w imieniu administratora.

Tylko na administratorze ciąży obowiązek powiadamiania o naruszeniu ochrony danych osobowych. Z kolei podmiot przetwarzający po stwierdzeniu naruszenia danych osobowych, zgodnie z art. 33 ust. 2 RODO, jedynie zgłasza je administratorowi.

Jakie informacje należy podać w zgłoszeniu naruszenia ochrony danych osobowych Prezesowi Urzędu Ochrony Danych Osobowych?

Rozporządzenie podaje minimalne wymogi co do informacji, jakie powinny znaleźć się w zgłoszeniu do organu nadzorczego (art. 33 ust. 3 RODO). Są one następujące:

1. charakter naruszenia ochrony danych osobowych,

2. imię i nazwisko oraz dane kontaktowe do osoby lub punktu kontaktowego, od którego można uzyskać więcej informacji,

3. opis możliwych konsekwencji naruszenia ochrony danych osobowych,

4. opis zastosowanych lub proponowanych przez administratora środków w celu zaradzenia naruszeniu ochrony danych osobowych.

Prawodawca daje możliwość sukcesywnego podawania wymienionych informacji. Zgodnie bowiem z art. 33 ust. 4 RODO, jeżeli – i w zakresie, w jakim – informacji nie da się udzielić w tym samym czasie, można je podawać sukcesywnie, ale bez zbędnej zwłoki.

Jak zostało to wspomniane, administrator ma obowiązek dokumentowania wszelkich naruszeń ochrony danych osobowych. Pod przymiotnikiem “wszelkich” kryją się trzy kategorie naruszeń, które, choć nie zostały wprost wymienione, można je wyodrębnić na podstawie przepisów rozporządzenia. Są to:

1. naruszenia, które nie podlegają zgłoszeniu do organu nadzorczego,

2. naruszenia, które należy zgłosić organowi nadzorczemu oraz osobie, której dotyczą,

3. naruszenia, które podlegają zgłoszeniu tylko organowi nadzorczemu.

Naruszenia niepodlegające zgłoszeniu do organu nadzorczego

Do pierwszej kategorii naruszeń, czyli tych, których nie zgłasza się do Prezesa Urzędu Ochrony Danych Osobowych, należą te incydenty, w przypadku których mało prawdopodobne jest, by skutkowały ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 ust. 1 RODO).

Naruszenia podlegające zgłoszeniu organowi nadzorczemu oraz osobie, której dotyczą

W drugiej kategorii incydentów znajdują się te naruszenia ochrony danych osobowych, które mogą powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (art. 34 ust. 1 RODO). Powinny być one zgłoszone Prezesowi Urzędu Ochrony Danych Osobowych, a także należy zawiadomić osobę, której danych dotyczy incydent.

Naruszenia podlegające zgłoszeniu jedynie organowi nadzorczemu

Trzecia kategoria naruszeń obejmuje te przypadki, w których:

1. nie jest mało prawdopodobne, że naruszenie skutkowało ryzykiem naruszenia praw i wolności osób fizycznych (art. 33 ust. 1 RODO), jak również

2. ryzyko naruszenia praw lub wolności osób fizycznych jest wysokie (druga kategoria naruszeń), ale zawiadomienie osoby, której danych dotyczy incydent, nie jest konieczne z uwagi na wypełnienie przesłanek z art. 34 ust. 3 RODO, tj. przykładowo, dane są szyfrowane.

W przypadku, gdy doszło do naruszenia danych, które mieści się w jednej z dwóch wyżej wskazanych grup, incydent należy zgłosić jedynie do Prezesa Urzędu Ochrony Danych Osobowych.

Należy zauważyć, że rozporządzenie nie wskazuje specyficznej formy, w jakiej rejestr naruszeń powinien być prowadzony. Natomiast najbardziej praktycznym rozwiązaniem zdaje się być prowadzenie rejestru w formie elektronicznej, co pozwala na jego:

• łatwą aktualizację,

• przesłanie lub wydrukowanie dla organu nadzorczego.