72h na zgłoszenie incydentu do PUODO – od kiedy liczymy czas?

• 28.02.2020

• Autor: Angelika Niezgoda

• obowiązki administratora danych

Podejrzenie incydentu – analiza – stwierdzenie incydentu – zgłoszenie incydentu do Prezesa Urzędu Ochrony Danych Osobowych. Tak w dużym skrócie można przedstawić pierwszą część procesu reakcji na incydent bezpieczeństwa ochrony danych osobowych w organizacji. I na to wszystko tylko 72 godziny. Który moment tego procesu jest właściwym na rozpoczęcie odliczania? Co w przypadku, kiedy incydent ma miejsce u procesora, a nie administratora danych?

Przepis art. 33 ust. 1 RODO mówi o administratorze, który „bez zbędnej zwłoki – w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu”.

W przepisie pojawia się oznaczenie czasu, wskazujące na etap „stwierdzenia”, co oznacza, że moment wykrycia, czy podejrzenia incydentu, nie jest tym, od którego płyną wspomniane 72h. Zwłaszcza że administrator w trakcie analizy podejrzenia incydentu, musi wziąć pod uwagę czynnik ryzyka naruszenia praw i wolności osób fizycznych, ponieważ to ten czynnik decyduje o powstaniu obowiązku zgłoszenia incydentu do PUODO.

Analogiczną sytuację przedstawia przykład incydentu, który zdarzył się u procesora. To administrator odpowiedzialny jest za analizę zdarzenia oraz zgłoszenie zdarzenia zakwalifikowanego jako incydent do PUODO, nawet jeśli do incydentu doszło w organizacji podmiotu przetwarzającego. Ten zobowiązany jest z kolei, do spełniania szeregu wymogów dotyczących stosowanych środków bezpieczeństwa przetwarzania powierzonych danych, oraz bezzwłocznego poinformowania administratora o podejrzeniu incydentu, a także współpracy z administratorem w trakcie wyjaśniania przyczyn i przebiegu incydentu, niwelowaniu jego negatywnych skutków, czy też zapobieganiu wzrostu skali zdarzenia, uznanego za incydent naruszenia bezpieczeństwa danych osobowych.

Moment stwierdzenia incydentu, możemy określić za Grupą Roboczą Art. 29, jako uzyskanie wystarczającego stopnia pewności, że doszło do zdarzenia zagrażającego bezpieczeństwu, które w skutkach doprowadziło do naruszenia ochrony danych osobowych. Ze względu jednak na pierwotny cel wprowadzenia tego przepisu, którym jest realne zapobieganie negatywnym skutkom, jakie naruszenie bezpieczeństwa danych może przynieść osobom fizycznym, czas działania, także ten niezakreślony w przepisowych 72 godzinach, jest niezwykle istotny. Im szybciej dojdzie do poinformowania administratora o zdarzeniu, tym szybciej zostanie przeprowadzona jego analiza, a kiedy okaże się, że zdarzenie stanowi incydent naruszenia bezpieczeństwa danych, będzie można wprowadzać działania zatrzymujące jego negatywne skutki.

Związek Firm Ochrony Danych Osobowych (ZFODO) wydał niedawno opinię dotyczącą zagadnienia biegu terminu zawiadamiania PUODO o incydencie, w której podsumowuje dotychczasowe stanowiska Grupy Roboczej Art. 29 oraz Prezesa UODO. Opinia dostępna pod linkiem: https://www.zfodo.org.pl/opinie/stanowisko-zfodo-w-zakresie-sposobu-liczenia-terminu-72h-na-zgloszenie-incydentu-do-regulatora/

Autor

Angelika Niezgoda

Od kilku lat zajmuje się tematyką ochrony danych osobowych i bezpieczeństwa informacji. Jako certyfikowany Inspektor Ochrony Danych prowadzi audyty bezpieczeństwa danych i czuwa nad projektowaniem i wdrażaniem procedur ochrony danych osobowych zgodnych z wymogami RODO.