Słownik pojęć · Prawo
Naruszenie ochrony danych osobowych
W skrócie
Incydent, w którym dane osobowe zostają np. utracone, ujawnione lub skopiowane przez osobę nieuprawnioną - jak przy wycieku z programu do faktur. Administrator zgłasza je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia, chyba że ryzyko dla osób jest mało prawdopodobne, a przy wysokim ryzyku zawiadamia też te osoby. Każde naruszenie, także niezgłoszone, trzeba udokumentować. Biuro jako podmiot przetwarzający niezwłocznie informuje klienta-administratora.
Od kiedy liczy się 72 godziny?
Według wytycznych europejskich organów ochrony danych administrator „stwierdza” naruszenie, gdy ma wystarczającą pewność, że doszło do incydentu dotyczącego przetwarzanych przez niego danych. Przy naruszeniu u podmiotu przetwarzającego jest to co do zasady chwila, w której ten go poinformuje. Publiczny komunikat dostawcy programu wymaga więc niezwłocznego sprawdzenia własnej sytuacji - nie warto czekać biernie na indywidualny e-mail, a moment uzyskania pewności trzeba udokumentować.
Zgłoszenie, które dostawca wysłał do UODO, nie zastępuje oceny administratora. Brak pełnych informacji nie uzasadnia zwłoki: dane można przekazywać etapami, a zgłoszenie po upływie 72 godzin trzeba uzasadnić. Decyzję o niezgłaszaniu wraz z uzasadnieniem zapisuje się w rejestrze naruszeń.
Co robi biuro rachunkowe, gdy wyciek nastąpił u dostawcy programu?
Biuro jest wtedy zwykle podmiotem przetwarzającym, a dostawca - dalszym podmiotem przetwarzającym. Biuro zawiadamia klientów-administratorów bez zbędnej zwłoki i nie uzależnia tego od zakończenia własnej analizy. Przekazuje dostępne informacje, pomaga ocenić ryzyko i wykonać obowiązki zgłoszenia oraz zawiadomienia osób. Zgłoszenie do UODO w imieniu klienta wymaga odpowiedniego umocowania.
Przy okazji trzeba sprawdzić, czy klienci zgodzili się na dalsze powierzenie danych i czy biuro ma z dostawcą wymaganą umowę. Jeżeli dostawca nie wypełni obowiązków ochrony danych, pełna odpowiedzialność wobec klienta spoczywa na biurze.
Jak ograniczyć skutki wycieku?
Zmienić hasła do programu i poczty, włączyć weryfikację dwuetapową, przejrzeć listę użytkowników konta i numer rachunku na fakturach. Po wycieku danych z faktur jednym z istotnych zagrożeń jest oszustwo „na podmieniony rachunek” - każdą zmianę rachunku kontrahenta potwierdza się telefonicznie, pod numerem znanym z umowy, a przed większą płatnością sprawdza rachunek w wykazie podatników VAT. Te kroki mają znaczenie także dla odszkodowania: jeżeli poszkodowany przyczynił się do szkody, może ono zostać zmniejszone.