REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Dokumentowanie naruszeń ochrony danych to inwestycja w bezpieczeństwo

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Karolina Kołakowska
adwokat w Kancelarii Brzezińska Narolski Adwokaci (http://bnadwokaci.pl/), ekspert z zakresu indywidualnego i zbiorowego prawa pracy oraz ochrony danych osobowych, trener i szkoleniowiec
Dokumentowanie naruszeń ochrony danych to inwestycja w bezpieczeństwo
Dokumentowanie naruszeń ochrony danych to inwestycja w bezpieczeństwo
ShutterStock

REKLAMA

REKLAMA

Dokumentowanie naruszeń ochrony danych osobowych stanowi inwestycję w bezpieczeństwo. Mail z listą płac wysłany do nieprawidłowego adresata. Atak hakerski na serwer. Utrata danych kadrowych. Zagubienie teczki osobowej. To wszystko przykłady przypadków naruszenia ochrony danych osobowych, które wymagają od administratora danych podjęcia określonych przepisami RODO działań.

Dokumentowanie naruszeń ochrony danych osobowych - inwestycja w bezpieczeństwo

Doświadczenie i decyzje Prezesa Urzędu Ochrony Danych Osobowych wskazują, że administratorzy mają zakodowane w świadomości zgłoszenie naruszenia do Urzędu i zawiadomienie o nim osób, których ono dotyczy. Często jednak zdarza się, że uznając, iż w danym przypadku nie ma podstaw do podjęcia tych czynności, zapominają o innym obowiązku – dokumentowania wszelkich naruszeń, niezależnie od tego, czy ostatecznie zostały zgłoszone do UODO, czy nie.

REKLAMA

Na czym polega obowiązek dokumentowania?

Art. 33 ust. 5 RODO stanowi, że administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu weryfikowanie przestrzegania obowiązku zgłoszenia. Przepis nie uzależnia dokumentowania ani od skali naruszenia, ani od jego powagi. Prowadzi to do wniosku, że każde naruszenie powinno być udokumentowane, niezależnie od tego, czy administrator doszedł do wniosku, że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

UODO na tropie błędów w dokumentacji

W jednej ze spraw, Urząd Ochrony Danych Osobowych o naruszeniu ochrony danych dowiedział się na skutek zawiadomienia przesłanego do Urzędu przez organ sprawujący nadzór na fundacją, u której doszło do naruszenia. Fundacja sama nie dokonała zgłoszenia, ponieważ w jej ocenie, nie było takiej potrzeby. W toku kontroli UODO ustalił, że analiza ryzyka przeprowadzona przez fundację po naruszeniu stanowiła w rzeczywistości wydruk z kalkulatora wagi naruszeń ochrony danych osobowych udostępnianego na stronie internetowej jednego z podmiotów świadczących usługi wsparcia w zakresie ochrony danych osobowych. Prezes UODO zaznaczył w swojej decyzji, że za pomocą kalkulatorów możliwe jest uzyskanie dowolnego wyniku, w zależności od danych wprowadzonych do obliczeń. Dokumenty te nie są opatrzone datą wytworzenia, ani nie zawierają opisu szczegółowych kryteriów, jakimi kierowała się fundacja dokonując oceny za pomocą wspomnianego kalkulatora. Przedstawiony przez fundację wydruk, zgodnie zresztą z zastrzeżeniem dostawcy, może mieć zatem jedynie pomocniczy charakter i nie powinien stanowić podstawy dokonania oceny ryzyka naruszenia praw lub wolności osób fizycznych. Dalej Urząd ocenił, że fundacja w nieprawidłowy sposób udokumentowała naruszenie, co w konsekwencji doprowadziło do błędnych wniosków w ocenie ryzyka i uchybieniu obowiązkom zgłoszenia do UODO naruszenia i zawiadomienia o naruszeniu osób nim dotkniętych.

Jak prawidłowo dokumentować naruszenia?

REKLAMA

Po pierwsze, dokumentacja powinna być sporządzona niezwłocznie po stwierdzeniu naruszenia, niezależnie od tego, czy doszło do niego u administratora danych, czy u podmiotu przetwarzającego. Powinna mieć formę utrwaloną i niepozostawiającą możliwości jej modyfikacji w przyszłości, a więc powinny być to podpisane dokumenty, albo co najmniej zapisane pliki PDF.

Po drugie, dokumentacja powinna zawierać ocenę ryzyka. Podczas oceny ryzyka naruszenia praw lub wolności osób fizycznych powstałego w wyniku wystąpienia naruszenia należy ocenić prawdopodobieństwo wystąpienia szkody dla osób, których dane dotyczą, jakie mogą z niego wyniknąć. Konieczne jest uwzględnienie powagi tego zdarzenia, tj. wielkości szkody, jakie zdarzenie to może spowodować w odniesieniu do osoby, której dane dotyczą oraz prawdopodobieństwa wystąpienia tego zdarzenia będącego skutkiem naruszenia. Ryzyko naruszenia praw lub wolności osób fizycznych powstaje, kiedy naruszenie może skutkować fizyczną, materialną lub niematerialną szkodą dla osób fizycznych, których dane naruszono. Szkodami takimi są np.: dyskryminacja, kradzież tożsamości lub oszustwo dotyczące tożsamości, nadużycia finansowe, straty finansowe, nieuprawnione cofnięcie pseudonimizacji, utrata poufności danych osobowych chronionych tajemnicą zawodową, naruszenie dobrego imienia lub inne znaczące skutki gospodarcze lub społeczne dla danej osoby fizycznej. Jeżeli naruszenie dotyczy danych osobowych ujawniających nr PESEL, pochodzenie etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane dotyczące zdrowia, dane dotyczące życia seksualnego, należy uznać, że występuje duże prawdopodobieństwo takiej szkody. W ocenie ryzyka należy uwzględnić następujące kryteria:

Dalszy ciąg materiału pod wideo
  1. rodzaj naruszenia (np. naruszenie poufności danych o wynagrodzeniu może nieść za sobą poważniejsze skutki niż naruszenie ich dostępności),
  2. charakter, wrażliwość i ilość danych osobowych (np. ujawnienie imienia i nazwiska oraz adresu danej osoby prawdopodobnie nie wyrządzi jej szkody, ale już ujawnienie nr PESEL może skutkować poważniejszymi konsekwencjami),
  3. łatwość identyfikacji osób fizycznych (np. dane osobowe chronione za pomocą odpowiedniego poziomu szyfrowania będą nieczytelne dla osób nieupoważnionych, które nie posiadają klucza deszyfrującego),
  4. waga konsekwencji dla osób fizycznych (fakt, że przypadkowy odbiorca jest zaufany, np. bank, może spowodować, że skutki naruszenia nie będą poważne),
  5. cechy szczególne danej osoby fizycznej,
  6. cechy szczególne administratora danych,
  7. liczba osób fizycznych, na które naruszenie wywiera wpływ (należy jednak pamiętać, że charakter zdarzenia może mieć poważne konsekwencje nawet dla jednej osoby).

Po trzecie, dokumentacja ta powinna zawierać opis podjętych działań zaradczych, a więc zarówno tych, które mają minimalizować skutki opisywanego naruszenia, jak i tych, które maja minimalizować ryzyko podobnych zdarzeń w przyszłości.

Prowadzenie dokumentacji się opłaca

REKLAMA

O naruszeniu ochrony danych osobowych Urząd może dowiedzieć się z różnych źródeł. Prowadzenie dokumentacji we właściwy sposób to polisa, którą będzie można wykorzystać, składając Urzędowi wyjaśnienia, dlaczego odstąpiono od zgłoszenia naruszenia do UODO.

O tym, jak zadbać o cyberbezpieczeństwo w dziale HR, powiemy podczas darmowego webinarium, które 9.11 br. o godz. 10.00 - zapisz się już dziś: https://event.webinarjam.com/register/19/38onqb0

Zapisz się na newsletter
Kodeks pracy, urlopy, wynagrodzenia, świadczenia pracownicze. Bądź na bieżąco ze zmianami z zakresu prawa pracy. Zapisz się na nasz newsletter.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

Uprawnienia rodzicielskie - QUIZ
certificate
Jak zdobyć Certyfikat:
  • Czytaj artykuły
  • Rozwiązuj testy
  • Zdobądź certyfikat
1/10
Ile tygodni urlopu macierzyńskiego można maksymalnie wykorzystać jeszcze przed porodem?
nie ma takiej możliwości
3
6
9 - tylko jeśli pracodawca wyrazi na to zgodę
Następne

REKLAMA

Kadry
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Nowe przepisy o rynku pracy i zatrudnianiu cudzoziemców od 1 czerwca 2025. Co się zmienia?

Od 1 czerwca 2025 r. wchodzą w życie dwie kluczowe ustawy reformujące polski rynek pracy i zasady zatrudniania cudzoziemców. Nowe przepisy zmienią sposób rejestracji bezrobotnych, zniosą ograniczenia wiekowe i wprowadzą nowoczesne narzędzia informatyczne. Co dokładnie się zmienia i kogo dotyczą nowe regulacje?

Debata. Syndrom oszustki - między sukcesem a wątpliwościami

To będzie jedno z najważniejszych spotkań w naszym studio, transmitowane w czasie rzeczywistym na stronie infor.pl.

Ile godzin tygodniowo pracuje się w UE? Najmniej w Holandii, najwięcej w Grecji, Bułgarii i Polsce

Według danych Eurostatu pracownicy w Unii Europejskiej pracowali średnio 36 godzin w tygodniu. Okazuje się, że w Polsce było to znacznie więcej. Gdzie odnotowano najdłuższe, a gdzie najkrótsze tygodnie pracy?

Jakie kody uprawniają do wyższego dofinansowania PFRON? [KWOTY 2025]

Kwota dofinansowania, jaką może uzyskać pracodawca, zależy nie tylko od stopnia niepełnosprawności, ale również od rodzaju schorzenia. Czy pojawią się kolejne kody uprawniające do wyższego dofinansowania? Jakie kwoty obowiązują w 2025 r.?

REKLAMA

Kapitał początkowy można przeliczyć. To klucz do wyższej emerytury!

Kapitał początkowy to odtworzona wartość składek emerytalnych z okresu przed 1 stycznia 1999 roku, kiedy składki nie były przypisane do indywidualnych kont. Bez kapitału początkowego Twoja emerytura może być znacznie niższa. Sprawdź, jak go wyliczyć i jakie dokumenty są potrzebne, by nie stracić pieniędzy.

Menadżerowie wysokiego szczebla chcą się dogadywać mimo barier budowanych przez przywódców świata

Menadżerowie i światowy biznes stoi w obliczu rosnącej niestabilności – od napięć geopolitycznych i przesunięcia wpływów globalnych, po coraz bardziej spolaryzowaną scenę międzynarodową. Mimo to, wielu menedżerów najwyższego szczebla wciąż wykazuje wiarę w trwałość dotychczasowych struktur i scenariuszy współpracy.

Pracodawco! Nie zawsze możesz zlecić dodatkowe zadania pracownikowi

Podpisując umowę o pracę, strony zawierają dwustronne zobowiązanie - pracownik obliguje się do świadczenia określonej w umowie pracy, a pracodawca do wypłacania pracownikowi uzgodnionego wynagrodzenia. W praktyce jednak wielu pracodawców wychodzi z założenia, że skoro to oni płacą, to mogą zlecać swoim podopiecznym różnorodne zadania, również te wykraczające poza ustalony zakres obowiązków.

Jawność wynagrodzeń w Polsce: Sejm uchwalił nowelizację Kodeksu pracy. Co się zmieni dla pracodawców i kandydatów do pracy?

Nowelizacja Kodeksu pracy uchwalona przez Sejm wprowadza obowiązek informowania kandydatów do pracy o wynagrodzeniu w procesie rekrutacji. Eksperci podkreślają jednak, że to dopiero początek drogi do pełnej jawności płac w Polsce.

REKLAMA

Aplikacja mZUS zyskuje popularność – już ponad 700 tys. użytkowników w całej Polsce

Aplikacja mobilna mZUS, dostępna na smartfony z systemem Android i iOS, przekroczyła próg 700 tysięcy użytkowników. Umożliwia szybki i wygodny dostęp do usług Zakładu Ubezpieczeń Społecznych, takich jak składanie wniosków o 800+, „Dobry Start” czy rezerwacja e-wizyt.

Coraz więcej seniorów wybiera przelew zamiast gotówki. Już 80% świadczeń ZUS trafia na konta bankowe

W marcu 2025 roku aż 80 proc. emerytów i rencistów otrzymywało świadczenia ZUS przelewem na konto bankowe. Choć coraz więcej osób rezygnuje z gotówki, część seniorów nadal wybiera wizytę listonosza – z powodów praktycznych i społecznych.

REKLAMA