REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Dokumentowanie naruszeń ochrony danych to inwestycja w bezpieczeństwo

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Karolina Kołakowska
adwokat w Kancelarii Brzezińska Narolski Adwokaci (http://bnadwokaci.pl/), ekspert z zakresu indywidualnego i zbiorowego prawa pracy oraz ochrony danych osobowych, trener i szkoleniowiec
Dokumentowanie naruszeń ochrony danych to inwestycja w bezpieczeństwo
Dokumentowanie naruszeń ochrony danych to inwestycja w bezpieczeństwo
ShutterStock

REKLAMA

REKLAMA

Dokumentowanie naruszeń ochrony danych osobowych stanowi inwestycję w bezpieczeństwo. Mail z listą płac wysłany do nieprawidłowego adresata. Atak hakerski na serwer. Utrata danych kadrowych. Zagubienie teczki osobowej. To wszystko przykłady przypadków naruszenia ochrony danych osobowych, które wymagają od administratora danych podjęcia określonych przepisami RODO działań.

Dokumentowanie naruszeń ochrony danych osobowych - inwestycja w bezpieczeństwo

Doświadczenie i decyzje Prezesa Urzędu Ochrony Danych Osobowych wskazują, że administratorzy mają zakodowane w świadomości zgłoszenie naruszenia do Urzędu i zawiadomienie o nim osób, których ono dotyczy. Często jednak zdarza się, że uznając, iż w danym przypadku nie ma podstaw do podjęcia tych czynności, zapominają o innym obowiązku – dokumentowania wszelkich naruszeń, niezależnie od tego, czy ostatecznie zostały zgłoszone do UODO, czy nie.

REKLAMA

Na czym polega obowiązek dokumentowania?

Art. 33 ust. 5 RODO stanowi, że administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu weryfikowanie przestrzegania obowiązku zgłoszenia. Przepis nie uzależnia dokumentowania ani od skali naruszenia, ani od jego powagi. Prowadzi to do wniosku, że każde naruszenie powinno być udokumentowane, niezależnie od tego, czy administrator doszedł do wniosku, że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

UODO na tropie błędów w dokumentacji

W jednej ze spraw, Urząd Ochrony Danych Osobowych o naruszeniu ochrony danych dowiedział się na skutek zawiadomienia przesłanego do Urzędu przez organ sprawujący nadzór na fundacją, u której doszło do naruszenia. Fundacja sama nie dokonała zgłoszenia, ponieważ w jej ocenie, nie było takiej potrzeby. W toku kontroli UODO ustalił, że analiza ryzyka przeprowadzona przez fundację po naruszeniu stanowiła w rzeczywistości wydruk z kalkulatora wagi naruszeń ochrony danych osobowych udostępnianego na stronie internetowej jednego z podmiotów świadczących usługi wsparcia w zakresie ochrony danych osobowych. Prezes UODO zaznaczył w swojej decyzji, że za pomocą kalkulatorów możliwe jest uzyskanie dowolnego wyniku, w zależności od danych wprowadzonych do obliczeń. Dokumenty te nie są opatrzone datą wytworzenia, ani nie zawierają opisu szczegółowych kryteriów, jakimi kierowała się fundacja dokonując oceny za pomocą wspomnianego kalkulatora. Przedstawiony przez fundację wydruk, zgodnie zresztą z zastrzeżeniem dostawcy, może mieć zatem jedynie pomocniczy charakter i nie powinien stanowić podstawy dokonania oceny ryzyka naruszenia praw lub wolności osób fizycznych. Dalej Urząd ocenił, że fundacja w nieprawidłowy sposób udokumentowała naruszenie, co w konsekwencji doprowadziło do błędnych wniosków w ocenie ryzyka i uchybieniu obowiązkom zgłoszenia do UODO naruszenia i zawiadomienia o naruszeniu osób nim dotkniętych.

Jak prawidłowo dokumentować naruszenia?

REKLAMA

Po pierwsze, dokumentacja powinna być sporządzona niezwłocznie po stwierdzeniu naruszenia, niezależnie od tego, czy doszło do niego u administratora danych, czy u podmiotu przetwarzającego. Powinna mieć formę utrwaloną i niepozostawiającą możliwości jej modyfikacji w przyszłości, a więc powinny być to podpisane dokumenty, albo co najmniej zapisane pliki PDF.

Po drugie, dokumentacja powinna zawierać ocenę ryzyka. Podczas oceny ryzyka naruszenia praw lub wolności osób fizycznych powstałego w wyniku wystąpienia naruszenia należy ocenić prawdopodobieństwo wystąpienia szkody dla osób, których dane dotyczą, jakie mogą z niego wyniknąć. Konieczne jest uwzględnienie powagi tego zdarzenia, tj. wielkości szkody, jakie zdarzenie to może spowodować w odniesieniu do osoby, której dane dotyczą oraz prawdopodobieństwa wystąpienia tego zdarzenia będącego skutkiem naruszenia. Ryzyko naruszenia praw lub wolności osób fizycznych powstaje, kiedy naruszenie może skutkować fizyczną, materialną lub niematerialną szkodą dla osób fizycznych, których dane naruszono. Szkodami takimi są np.: dyskryminacja, kradzież tożsamości lub oszustwo dotyczące tożsamości, nadużycia finansowe, straty finansowe, nieuprawnione cofnięcie pseudonimizacji, utrata poufności danych osobowych chronionych tajemnicą zawodową, naruszenie dobrego imienia lub inne znaczące skutki gospodarcze lub społeczne dla danej osoby fizycznej. Jeżeli naruszenie dotyczy danych osobowych ujawniających nr PESEL, pochodzenie etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane dotyczące zdrowia, dane dotyczące życia seksualnego, należy uznać, że występuje duże prawdopodobieństwo takiej szkody. W ocenie ryzyka należy uwzględnić następujące kryteria:

Dalszy ciąg materiału pod wideo
  1. rodzaj naruszenia (np. naruszenie poufności danych o wynagrodzeniu może nieść za sobą poważniejsze skutki niż naruszenie ich dostępności),
  2. charakter, wrażliwość i ilość danych osobowych (np. ujawnienie imienia i nazwiska oraz adresu danej osoby prawdopodobnie nie wyrządzi jej szkody, ale już ujawnienie nr PESEL może skutkować poważniejszymi konsekwencjami),
  3. łatwość identyfikacji osób fizycznych (np. dane osobowe chronione za pomocą odpowiedniego poziomu szyfrowania będą nieczytelne dla osób nieupoważnionych, które nie posiadają klucza deszyfrującego),
  4. waga konsekwencji dla osób fizycznych (fakt, że przypadkowy odbiorca jest zaufany, np. bank, może spowodować, że skutki naruszenia nie będą poważne),
  5. cechy szczególne danej osoby fizycznej,
  6. cechy szczególne administratora danych,
  7. liczba osób fizycznych, na które naruszenie wywiera wpływ (należy jednak pamiętać, że charakter zdarzenia może mieć poważne konsekwencje nawet dla jednej osoby).

Po trzecie, dokumentacja ta powinna zawierać opis podjętych działań zaradczych, a więc zarówno tych, które mają minimalizować skutki opisywanego naruszenia, jak i tych, które maja minimalizować ryzyko podobnych zdarzeń w przyszłości.

Prowadzenie dokumentacji się opłaca

REKLAMA

O naruszeniu ochrony danych osobowych Urząd może dowiedzieć się z różnych źródeł. Prowadzenie dokumentacji we właściwy sposób to polisa, którą będzie można wykorzystać, składając Urzędowi wyjaśnienia, dlaczego odstąpiono od zgłoszenia naruszenia do UODO.

O tym, jak zadbać o cyberbezpieczeństwo w dziale HR, powiemy podczas darmowego webinarium, które 9.11 br. o godz. 10.00 - zapisz się już dziś: https://event.webinarjam.com/register/19/38onqb0

Zapisz się na newsletter
Kodeks pracy, urlopy, wynagrodzenia, świadczenia pracownicze. Bądź na bieżąco ze zmianami z zakresu prawa pracy. Zapisz się na nasz newsletter.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

Uprawnienia rodzicielskie - QUIZ
certificate
Jak zdobyć Certyfikat:
  • Czytaj artykuły
  • Rozwiązuj testy
  • Zdobądź certyfikat
1/10
Ile tygodni urlopu macierzyńskiego można maksymalnie wykorzystać jeszcze przed porodem?
nie ma takiej możliwości
3
6
9 - tylko jeśli pracodawca wyrazi na to zgodę
Następne

REKLAMA

Kadry
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Czy zmiana formy prawnej pracodawcy wpływa na PPK? [PRZYKŁADY]

Przepisy ustawy o PPK nie wyłączają ani nie modyfikują zasad kontynuacji bądź sukcesji wynikających np. z przepisów kodeksu spółek handlowych. Jeżeli po przekształceniu danemu podmiotowi przysługują nadal prawa i obowiązki, jakie miał przed przekształceniem, dotyczy to także praw i obowiązków wynikających z umowy o zarządzanie PPK.

Nieodpłatne kursy językowe dla pracowników. Aspekty prawne i podatkowe

Na co może liczyć pracownik chcący podnieść swoje kwalifikacje zawodowe? Czy pracodawca może finansować pracownikom kursy językowe ze środków ZFŚS? Kiedy sfinansowanie szkoleń językowych pracownikom jest dla nich przychodem? W artykule odpowiadamy na najważniejsze pytania!

6 najważniejszych zmian w zatrudnianiu cudzoziemców od czerwca 2025 r.

Dnia 1 czerwca weszły w życie ważne przepisy zmieniające zasady legalnego zatrudniania cudzoziemców w Polsce. Zmiany można przedstawić w 6 głównych punktach. Oto najważniejsze przepisy prawne.

MRPiPS: Pilotaż skróconego czasu pracy 2025 – nabór wniosków od 14 sierpnia 2025, do 1 mln zł dofinansowania [SZCZEGÓŁY, WAŻNE TERMINY]

Ministerstwo Rodziny, Pracy i Polityki Społecznej ogłosiło szczegóły długo wyczekiwanego pilotażu skróconego czasu pracy. Program, pierwszy tego typu w Polsce i tej części Europy, zakłada praktyczne testowanie różnych modeli organizacji pracy przy wsparciu finansowym państwa. Wnioski o udział w pilotażu będzie można składać od 14 sierpnia do 15 września 2025 roku.

REKLAMA

Nowoczesne BHP czyli jak zmiany klimatu wpływają na bezpieczeństwo pracy

Jakich działań ze strony pracodawcy wymaga nowoczesne podejście do BHP? Czym jest dziś bezpieczeństwo pracy? Jak zmiany klimatu wpływają na zarządzanie bezpieczeństwem w firmie?

Nowe obowiązki pracodawców od 2026 roku. Zmiany Kodeksu pracy w Dzienniku Ustaw

W Dzienniku Ustaw pojawiła się ustawa zmieniająca Kodeks pracy. Jej przepisy wejdą w życie na początku 2026 roku. Oznacza to nowe obowiązki dla pracodawców. Co zmienia się w Kodeksie pracy? O czym muszą wiedzieć pracownicy?

Lipiec 2025. Kalendarz do druku [PDF]

Pobierz kalendarz lipca 2025 do druku z miejscem na notatki. Lipiec 2025 roku zawiera 8 dni wolnych od pracy. Jakie są ważne dni lipca? Wydrukuj i dopisz swoje notatki na ten miesiąc.

Wynagrodzenie lekarza rezydenta 2025. Podwyżka już od lipca

Nowe, wyższe wynagrodzenie lekarza rezydenta w 2025 roku zapewnia rozporządzenie Ministra Zdrowia. Podwyżka wchodzi w życie już od 1 lipca. Ile zarabia lekarz i lekarz dentysta odbywający specjalizację w ramach rezydentury?

REKLAMA

Oferta pracy bez kluczowych informacji powoduje rezygnację z aplikowania. Dlaczego firmy nie podają ważnych elementów oferty

Aż 36% kandydatów rezygnuje z aplikowania na ofertę pracy, w której brakuje kluczowych informacji, takich jak wynagrodzenie czy wskazanie konkretnej liczby dni przy pracy hybrydowej. Dlaczego pracodawcy nie zamieszczają w ofertach pracy najważniejszych elementów? Jaki wniosek dla pracodawców wynika z poniższych danych?

Do 30 tys. zł kary dla pracodawcy za nielegalne zatrudnienie. Czy dziecko może pracować w wakacje? [Przepisy prawne]

Prawo przewiduje do 30 tys. zł kary dla pracodawcy za nielegalne zatrudnienie. Czy dziecko może legalnie pracować w wakacje? Praca przy zbieraniu truskawek, innych owoców czy pomaganie w gastronomii to popularne sposoby na zarobek młodych Polek i Polaków. Czy zawsze przepisy prawne na to pozwalają?

REKLAMA