Moduł 2 · Naruszenie: od zgłoszenia do decyzji

Moduł 2 · ok. 15 min

Naruszenie: od zgłoszenia do decyzji

Na zgłoszenie naruszenia masz 72 godziny, ale zwykle tracisz je w pierwszych godzinach, bo nikt nie wie, komu powiedzieć. Ten moduł ustawia drogę od zgłoszenia do decyzji.

2.1Naruszenie a incydent

Incydent to zdarzenie, które narusza bezpieczeństwo systemu lub informacji. Naruszenie ochrony danych osobowych to incydent, w którym dane osobowe mogły trafić do niepowołanych osób, zostać zmienione albo zginąć. Jedno zdarzenie może uruchomić dwie ścieżki naraz: ustawę o KSC i RODO.

Zdarzenie	Incydent?	Naruszenie danych?	Dlaczego
E-mail z listą podatników wysłany do złego adresata	tak	tak	dane osobowe trafiły do niepowołanej osoby
Zaszyfrowany serwer z danymi mieszkańców	tak (poważny)	tak	dane mogły zginąć lub wyciec; dwie ścieżki zgłoszeń
Podejrzany e-mail, nikt nie kliknął	zgłoszenie, nie incydent	nie	żadne dane nie wyszły; zapisz zgłoszenie
Zgubiony niezaszyfrowany pendrive z listą uczniów	tak	tak	dane mogą trafić do osoby trzeciej

2.2Od kiedy liczysz 72 godziny

Co to znaczy. 72 godziny na zgłoszenie do Prezesa Urzędu Ochrony Danych Osobowych (UODO) liczysz od chwili, gdy jednostka stwierdzi naruszenie. Nie od dnia, w którym wyciek się zdarzył. Nie od chwili, gdy dowie się o nim IOD. Piątek 15:30 to początek zegara, a nie poniedziałek rano.

Rysunek 3. Zegar naruszenia. Zgłoszenie do Prezesa UODO do 72 godzin. Osoby zawiadamiasz bez zbędnej zwłoki, gdy ryzyko dla nich jest wysokie.

Dlaczego: Weekend nie zatrzymuje zegara. Jednostka, która czeka z wiadomością do poniedziałku, traci pół terminu, zanim ktokolwiek zacznie ocenę.

2.3Przyjęcie zgłoszenia — kanały

Zobacz rysunek 4. Droga jest zawsze taka sama. Zmienia się tylko kanał, którym wiadomość wpływa.

Rysunek 4. Droga zgłoszenia naruszenia: od pracownika do decyzji kierownika. Wariant B: krok 3 wykonujesz tego samego dnia.

Jak to zrobić: przyjęcie zgłoszenia naruszenia

Kanał	Co robisz	Na co uważasz
Osobiście	1. Poproś zgłaszającego o trzy rzeczy: co się stało, kiedy, czyje dane mogą być dotknięte. 2. Zapisz godzinę zgłoszenia. 3. Wpisz zgłoszenie do nazwa rejestru incydentow w jego obecności. 4. Powiedz mu, kogo i kiedy zawiadomisz.	Godzina zgłoszenia uruchamia zegar. Zapisz ją od razu.
Telefon	1. Zapisz godzinę połączenia i trzy odpowiedzi: co, kiedy, czyje dane. 2. Poproś o numer, pod którym możesz oddzwonić. 3. Dane szczególne, np. o zdrowiu, podawane są telefonicznie, nie e-mailem.	Telefon zgłaszającego zapisz w rejestrze razem z zgłoszeniem.
E-mail / system zgłoszeń	1. Potwierdź przyjęcie wiadomości telefonicznie. 2. Zapisz godzinę wpływu, nie godzinę przeczytania. 3. Poproś, by szczegóły z danymi szczególnymi podał telefonicznie.	Opis naruszenia z danymi w treści e-maila sam bywa kolejnym naruszeniem.
Pismo / ePUAP / e-Doręczenia	1. Zarejestruj pismo w kancelarii z datą wpływu. 2. Przekaż je IOD i kierownikowi tego samego dnia. 3. Terminy z pisma wpisz do kalendarza.	Zgłoszenie od organu, np. od policji, też uruchamia ocenę.

Przykład

— Zgłaszam: dziś o 15:30 wysłałam e-mail z listą podatników do złego adresata. Lista ma około 40 osób.
— Dziękuję. Zapisuję godzinę 15:35. Czy adresat jest spoza urzędu?
— Tak, to inna firma.
— Wpisuję zgłoszenie do rejestru i dziś informuję kierownika i IOD. Proszę nie wysyłać więcej wiadomości w tej sprawie.

2.4Ocena ryzyka dla osób

Co to znaczy. Ocena odpowiada na pytanie: czy naruszenie może skrzywdzić osoby, których dane dotyczą? Od odpowiedzi zależy, co robisz dalej. Ocenę przygotowuje IOD, a decyzję podejmuje kierownik.

Ryzyko dla osób	Przykład	Co robisz
Mało prawdopodobne	zaszyfrowany pendrive, klucz niedostępny dla nikogo	rejestrujesz naruszenie w rejestrze, bez zgłoszenia do organu
Jest	lista osób wysłana do złego adresata	zgłaszasz do Prezesa UODO w ciągu 72 godzin i rejestrujesz
Wysokie	dane o zdrowiu lub dane dzieci wyciekły w sieci	zgłaszasz do Prezesa UODO i zawiadamiasz osoby bez zbędnej zwłoki

Jak to zrobić: ocena ryzyka dla osób

Kanał	Co robisz	Na co uważasz
Osobiście (rozmowa IOD z kierownikiem)	1. Przedstaw fakty: jakie dane, ile osób, kto je zobaczył. 2. Zapytaj o skutek: czy osoba może stracić pieniądze, reputację lub bezpieczeństwo? 3. Zapisz ocenę i decyzję kierownika z datą.	Dane o zdrowiu, dane dzieci i dane finansowe zwiększają ryzyko.
Pismo (notatka)	1. Przygotuj notatkę z ocenami: kategoria danych, liczba osób, skutki. 2. Kierownik podpisuje decyzję: zgłaszamy albo rejestrujemy. 3. Notatkę dołącz do wpisu w nazwa rejestru incydentow.	Decyzja „nie zgłaszamy” też wymaga zapisu i uzasadnienia.

2.5Zgłoszenie do organu i zawiadomienie osób

Jednostka zgłasza naruszenie do Prezesa UODO w ciągu 72 godzin, jeśli ryzyko dla osób jest. Gdy część informacji brakuje, zgłaszasz w terminie to, co wiesz, a resztę uzupełniasz później. Osoby zawiadamiasz, gdy ryzyko jest wysokie. Każde naruszenie wpisujesz do rejestru, także to, którego nie zgłaszasz.

Kanał	Co robisz	Na co uważasz
Pismo / formularz organu	1. Przygotuj opis: co się stało, kiedy, ile osób, jakie dane, co zrobiono. 2. Kierownik zatwierdza zgłoszenie. 3. Zgłoś kanałem wskazanym przez organ i zapisz potwierdzenie wpływu.	Zgłoszenie bez potwierdzenia wpływu nie jest dowodem.
Zawiadomienie osób (list, e-mail, telefon)	1. Użyj prostych słów: co się stało, jakie dane, co osoba może zrobić. 2. Podaj kontakt: inspektor ochrony danych jednostki. 3. Zapisz, kiedy i jak zawiadomiono osoby.	Do osoby nie wysyłasz więcej danych niż to konieczne.

Dlaczego: Zgłoszenie w terminie pokazuje, że jednostka panuje nad sytuacją. Spóźnione zgłoszenie jest samo w sobie niezgodnością, nawet gdy skutki wycieku były małe.

2.6Wariant B: co przekazujesz IOD i w jakiej kolejności

Kolejność	Co przekazujesz	Kiedy
1	sam fakt zgłoszenia, godzina, kto zgłosił	od razu, telefonem
2	co się stało, kiedy, jakie dane i ile osób	tego samego dnia, na piśmie
3	co już zrobiono: odłączono, odzyskano, powiadomiono	tego samego dnia
4	dokumenty: zrzuty, wiadomości, wpis do rejestru	w ciągu doby, szyfrowaną paczką; hasło drugim kanałem

Dlaczego: IOD potrzebuje najpierw sygnału, potem faktów, potem dowodów. Gdy czekasz z wiadomością, aż zbierzesz wszystko, IOD traci godziny na ocenę.

Zapamiętaj

72 godziny liczysz od stwierdzenia. Kierownik decyduje, IOD doradza, osoba kontaktowa przekazuje tego samego dnia.

Moje notatki z tematu · moduł 2

Kto w mojej jednostce przyjmie zgłoszenie naruszenia w piątek po południu?
Do kogo przekazuję sprawę, gdy IOD jest nieosiągalny?

Krok 2 · Zrozum

Naruszenie: od zgłoszenia do decyzji

Poradnik pokazuje drogę naruszenia i zegar 72 godzin. Tutaj zobaczysz, jak przyjąć zgłoszenie każdym kanałem i dlaczego liczysz od stwierdzenia. Wszystko, o co zapyta quiz po tej lekcji, jest wyjaśnione poniżej.

ANaruszenie a incydent

Zdarzenie	Naruszenie danych?	Dlaczego
E-mail z listą podatników wysłany do złego adresata	tak	dane trafiły do niepowołanej osoby
Zaszyfrowany serwer z danymi mieszkańców	tak	dane mogły zginąć lub wyciec; dwie ścieżki
Podejrzany e-mail, w który nikt nie kliknął	nie	żadne dane nie wyszły; zapisz tylko zgłoszenie

BOd kiedy liczysz 72 godziny

72 godziny na zgłoszenie do Prezesa UODO liczysz od chwili, gdy jednostka stwierdzi naruszenie. Nie od dnia wycieku i nie od chwili, gdy dowie się IOD. Weekend nie zatrzymuje zegara. Piątek 15:30 to początek zegara, a nie poniedziałek rano.

Dlaczego

Jednostka, która czeka z wiadomością do poniedziałku, traci pół terminu, zanim ktokolwiek zacznie ocenę.

CPrzyjęcie zgłoszenia: telefon, e-mail, osobiście, pismo

Droga jest zawsze taka sama: zgłoszenie, wpis do rejestru z godziną, przekazanie IOD, ocena, decyzja. Zmienia się tylko kanał, którym wiadomość wpływa.

Jak to zrobić krok po kroku — przyjęcie zgłoszenia telefonem

Zapisz godzinę połączenia i trzy odpowiedzi: co się stało, kiedy, czyje dane.
Poproś o numer, pod którym możesz oddzwonić.
Dane szczególne, np. o zdrowiu, poproś podać telefonicznie, nie e-mailem.
Wpisz zgłoszenie do nazwa rejestru incydentow z godziną.

Jak to zrobić krok po kroku — przyjęcie zgłoszenia e-mailem

Potwierdź przyjęcie wiadomości telefonicznie.
Zapisz godzinę wpływu, nie godzinę przeczytania.
Poproś, by szczegóły z danymi szczególnymi podał telefonicznie.
Wpisz zgłoszenie do rejestru i przekaż IOD.

Jak to zrobić krok po kroku — przyjęcie zgłoszenia osobiście

Poproś o trzy rzeczy: co się stało, kiedy, czyje dane mogą być dotknięte.
Zapisz godzinę zgłoszenia i wpisz sprawę do rejestru w obecności zgłaszającego.
Powiedz mu, kogo i kiedy zawiadomisz.

Jak to zrobić krok po kroku — przyjęcie zgłoszenia pismem

Zarejestruj pismo w kancelarii z datą wpływu.
Przekaż je IOD i kierownikowi tego samego dnia.
Terminy z pisma wpisz do kalendarza.

Przykład rozmowy — piątek 15:30

Zgłaszająca: Dziś o 15:30 wysłałam e-mail z listą podatników do złego adresata. Lista ma około 40 osób.
Ty: Dziękuję. Zapisuję godzinę 15:35. Czy adresat jest spoza urzędu?
Zgłaszająca: Tak, to inna firma.
Ty: Wpisuję zgłoszenie do rejestru i dziś informuję kierownika i IOD. Proszę nie wysyłać więcej wiadomości w tej sprawie.

DOcena ryzyka dla osób

Ocena odpowiada na pytanie: czy naruszenie może skrzywdzić osoby, których dane dotyczą? Od odpowiedzi zależy, co robisz. Ocenę przygotowuje IOD, a decyzję podejmuje kierownik.

Ryzyko dla osób	Przykład	Co robisz
Mało prawdopodobne	zaszyfrowany pendrive, klucz niedostępny dla nikogo	rejestrujesz naruszenie, bez zgłoszenia do organu
Jest	lista osób wysłana do złego adresata	zgłaszasz do Prezesa UODO w 72 godziny i rejestrujesz
Wysokie	dane o zdrowiu lub dane dzieci wyciekły w sieci	zgłaszasz do Prezesa UODO i zawiadamiasz osoby bez zbędnej zwłoki

Zapamiętaj

Dane o zdrowiu, dane dzieci i dane finansowe zwiększają ryzyko dla osób.

EZgłoszenie do organu i zawiadomienie osób

Zgłaszasz w terminie to, co wiesz, a resztę uzupełniasz później. Osoby zawiadamiasz, gdy ryzyko jest wysokie. Każde naruszenie wpisujesz do rejestru, także to, którego nie zgłaszasz do organu. Decyzja „nie zgłaszamy” też ma zapis i uzasadnienie.

Jak to zrobić krok po kroku — zawiadomienie osób

Użyj prostych słów: co się stało, jakie dane, co osoba może zrobić.
Podaj kontakt: inspektor ochrony danych jednostki.
Zapisz, kiedy i jak zawiadomiono osoby.
Nie dołączaj więcej danych niż to konieczne.

Dlaczego

Zgłoszenie w terminie pokazuje, że jednostka panuje nad sytuacją. Spóźnione zgłoszenie jest samo w sobie niezgodnością, nawet gdy skutki wycieku były małe.

FWariant B: co przekazujesz IOD i w jakiej kolejności

IOD potrzebuje najpierw sygnału, potem faktów, potem dowodów. Gdy czekasz, aż zbierzesz wszystko, IOD traci godziny na ocenę.

Kolejność	Co przekazujesz	Kiedy
1	fakt zgłoszenia, godzina, kto zgłosił	od razu, telefonem
2	co się stało, kiedy, jakie dane i ile osób	tego samego dnia, na piśmie
3	co już zrobiono: odłączono, odzyskano, powiadomiono	tego samego dnia
4	dokumenty: zrzuty, wiadomości, wpis do rejestru	w ciągu doby, szyfrowaną paczką; hasło drugim kanałem

Krok 3 · Ćwicz

Sprawdź, czy już wiesz

Ćwiczenie 1. Zgłoszenie naruszenia przyszło w piątek o 15:30. Od kiedy liczysz 72 godziny?

Od poniedziałku rano.

Od chwili, gdy jednostka stwierdziła naruszenie, czyli od piątku.

Od chwili, gdy dowie się IOD.

Ćwiczenie 2. Co robisz po ocenie ryzyka?Przy każdej sytuacji wybierz jedną odpowiedź.

Zaszyfrowany pendrive, klucz dostępny tylko jednostce.

Lista 40 podatników wysłana do osoby spoza urzędu.

Dane o zdrowiu pacjentów dostępne w sieci.

Dane dzieci z listy uczniów w otwartym folderze sieciowym.

Ćwiczenie 3. Ułóż kolejność przekazania sprawy IOD (wariant B).Klikaj kolejno.

Fakty na piśmie: co, kiedy, jakie dane, ile osób
Informacja, co już zrobiono
Sygnał telefonem: zgłoszenie, godzina, zgłaszający
Dowody w szyfrowanej paczce, hasło drugim kanałem

Ćwiczenie 4. Pracownica zgłasza telefonicznie naruszenie. Napisz, o co ją pytasz i co zapisujesz.

„Zapisuję godzinę połączenia. Proszę powiedzieć: co się stało, kiedy i czyje dane mogą być dotknięte. Dane szczególne proszę podawać telefonicznie, nie e-mailem. Wpisuję zgłoszenie do rejestru i dziś informuję kierownika i IOD.”

Ćwiczenie 5. Uzupełnij.Wpisz jedno słowo lub liczbę.

Zgłoszenie do Prezesa UODO wysyłasz w ciągu … godzin od … naruszenia. Każde naruszenie wpisujesz do ….