Zgłoszenie naruszenia do UODO po wycieku u dostawcy: od kiedy liczyć 72 godziny

Dostałeś od dostawcy programu maila, że ktoś włamał się do jego systemu i skopiował dane klientów, także Twoje. Zanim przeczytasz dalej, zapisz, o której godzinie ten mail do Ciebie dotarł. Od tej chwili, a czasem nawet wcześniej, biegnie Ci termin na zgłoszenie naruszenia do UODO.

W tym wpisie wyjaśniam, kto zgłasza wyciek, do którego doszło nie u Ciebie, od kiedy liczyć 72 godziny, jak nie pomylić się o godzinę albo dwie i co wpisać w zgłoszeniu, gdy dostawca jeszcze nie wie, ile rekordów wyciekło.

Kto zgłasza naruszenie u podmiotu przetwarzającego?

Ty. Firma, która daje Ci program do faktur, system do obsługi klientów albo sklep w chmurze, zwykle jest tylko podmiotem przetwarzającym, czyli przetwarza dane Twoich klientów w Twoim imieniu. Administratorem, czyli tym, kto decyduje, po co i jak te dane są przetwarzane, jesteś Ty.

Dostawca po stwierdzeniu naruszenia ma bez zbędnej zwłoki zgłosić je Tobie (art. 33 ust. 2). Zgłoszenie do Prezesa Urzędu Ochrony Danych Osobowych (UODO) składa administrator (art. 33 ust. 1 RODO). UODO w poradniku Obowiązki administratorów związane z naruszeniami ochrony danych osobowych wprost wymienia zgłoszenie złożone przez dostawcę zamiast administratora wśród najczęstszych błędów.

Gdy dostawca obsługuje tysiące firm, zgłoszenie składa każda z nich osobno. Dostawca ma zawiadomić każdego administratora, którego dotyczy incydent (wytyczne Europejskiej Rady Ochrony Danych 9/2022, pkt 47, po angielsku), a każdy z nich sam ocenia ryzyko i sam zgłasza. Liczy się podmiot, nie konto. Dwa konta tej samej spółki, na których jest ona administratorem, to jedno zgłoszenie, a spółka z o.o. i jednoosobowa działalność jej wspólnika to dwóch administratorów i dwa zgłoszenia.

Zgłoszenia nie składasz tylko wtedy, gdy jest mało prawdopodobne, że naruszenie spowoduje ryzyko dla praw lub wolności osób fizycznych (art. 33 ust. 1), i potrafisz to wykazać (motyw 85 RODO, czyli jeden z punktów wstępu do rozporządzenia). Kiedy za szkodę odpowiada dostawca i co sprawdzić w umowie z nim, opisałem we wpisie Wyciek danych medycznych - kary, odszkodowania i zgłoszenie do UODO przy wycieku u dostawcy.

Od kiedy liczyć 72 godziny z art. 33 RODO?

Od stwierdzenia naruszenia, a nie od samego włamania. Art. 33 ust. 1 RODO mówi o terminie 72 godzin „po stwierdzeniu naruszenia”. Europejska Rada Ochrony Danych (EROD) wyjaśnia, że administrator stwierdza naruszenie, gdy ma rozsądny stopień pewności, że doszło do incydentu, w którym naruszono dane osobowe (wytyczne 9/2022, pkt 31). 72 godziny to górna granica, a nie czas do wykorzystania: RODO wymaga zgłoszenia bez zbędnej zwłoki.

Mail od dostawcy uruchamia zegar

Przy wycieku u dostawcy co do zasady dowiadujesz się o naruszeniu wtedy, gdy dostawca Cię o nim poinformuje (wytyczne 9/2022, pkt 44). Nie czekasz na raport z dochodzenia ani na listę rekordów, które wyciekły z Twojego konta. Formularz UODO ma zresztą osobne pola na datę stwierdzenia naruszenia i na datę powiadomienia przez podmiot przetwarzający.

Zegar mógł ruszyć wcześniej

Bywa, że dostawca najpierw publikuje ogólny komunikat o incydencie, a imienne zawiadomienia rozsyła później. Jeśli już z pierwszego komunikatu albo z doniesień w mediach jasno wynikało, że skopiowano dane klientów, a Ty o tym wiedziałeś, możesz zostać uznany za świadomego naruszenia wcześniej. EROD pozwala po sygnale z zewnątrz tylko na krótkie sprawdzenie, czy do naruszenia rzeczywiście doszło (pkt 34). Zacznij je od razu, na przykład pytając dostawcę, czy incydent objął Twoje konto. Zwlekanie z tym sprawdzeniem może zostać uznane za niezgłoszenie naruszenia (pkt 40).

Masz wątpliwość, od której chwili liczyć? Licz od wcześniejszej. A jeśli wcześniejszy termin już minął, zgłaszasz od razu i dołączasz wyjaśnienie przyczyn opóźnienia (art. 33 ust. 1 zdanie drugie).

Weekend i święta też się liczą

Przy terminie 72 godzin EROD odsyła do unijnego rozporządzenia nr 1182/71 o okresach, datach i terminach, a ono mówi wprost: okres obejmuje soboty, niedziele i dni ustawowo wolne od pracy (art. 3 ust. 3). Przesunięcie końca terminu na następny dzień roboczy dotyczy tylko okresów wyrażonych inaczej niż w godzinach (art. 3 ust. 4).

Przykład: mail od dostawcy przyszedł w piątek o 15:20. Termin mija w poniedziałek o 15:20. Formalnie rozporządzenie nie wlicza godziny, w której nastąpiło zdarzenie, i liczy okres od początku następnej godziny (art. 3 ust. 1 i ust. 2 lit. a), więc koniec przypadłby na 16:00. Ja na tej godzinie zapasu nie buduję i liczę od minuty, w której mail dotarł.

Każdy administrator ma swój termin

Dostawca rozsyła zawiadomienia na adresy przypisane do kont. Jeśli masz kilka firm i każda ma własne konto, maile mogą przyjść o różnych porach, a nawet różnego dnia. Każda firma liczy swój termin od chwili, w której informacja dotarła do niej.

Jedna firma z kilkoma adresami bezpieczniej liczy od pierwszego maila, który do niej przyszedł, a nie od tego, który ktoś przeczytał najpóźniej. Zajrzyj też do spamu i kosza. EROD oczekuje, że masz procedury, dzięki którym szybko dowiesz się o naruszeniu (pkt 32 i 37), więc „mail wpadł do spamu” to słabe wyjaśnienie opóźnienia.

Godzina z maila a czas polski - jak nie pomylić terminu

Niektóre narzędzia, eksporty i logi podają godzinę w UTC, czyli w uniwersalnym czasie koordynowanym. W Polsce zimą obowiązuje czas środkowoeuropejski, czyli UTC plus jedna godzina, a latem czas letni, czyli UTC plus dwie godziny (art. 2 ustawy o czasie urzędowym). Latem godzina 13:20 UTC to więc 15:20 w Polsce.

Jeśli weźmiesz czas UTC za polski, skrócisz sobie termin, co jest niegroźne. Gorzej w drugą stronę: gdy dodasz dwie godziny do godziny, która już była polska, termin wydłuży Ci się tylko na papierze. Przed wpisaniem daty do zgłoszenia sprawdź, w jakiej strefie czasowej jest godzina, którą odczytujesz.

Jeszcze jedna pułapka: czas letni kończy się w ostatnią niedzielę października (dyrektywa 2000/84/WE, art. 3). Jeśli w Twoje 72 godziny wpada ta noc, licz upływające godziny, a nie wskazania zegarka. Zegarek cofa się wtedy o godzinę, więc termin na zegarze wypada godzinę wcześniej.

Zgłoszenie wstępne, gdy dostawca nie podał jeszcze liczb

Częsty błąd przy wycieku u dostawcy to myśl: „poczekamy, aż dostawca powie, ile rekordów wyciekło”. Nie czekaj. Art. 33 ust. 4 RODO pozwala przekazywać informacje sukcesywnie, a w zgłoszeniu podajesz przybliżoną liczbę osób i wpisów (art. 33 ust. 3 lit. a). EROD pisze wprost, że brak dokładnej liczby osób nie może blokować terminowego zgłoszenia (pkt 52).

Jak to zrobić w praktyce? Formularz zgłoszenia naruszenia do UODO wypełniasz w e-usłudze na biznes.gov.pl. Podpisujesz go podpisem kwalifikowanym albo profilem zaufanym. Formularz przewiduje też wersję papierową, ale przy 72 godzinach to najwolniejsza droga. W polu 1.A wybierasz typ „wstępne”, wpisujesz to, co wiesz z zawiadomienia dostawcy, i możesz podać przybliżoną datę uzupełnienia. Wzór formularza znajdziesz też na stronie UODO z formularzami.

Lepiej zgłoszenie, które potem sprostujesz, niż spóźnione. Jeśli dalsze sprawdzenie pokaże, że do naruszenia nie doszło, aktualizujesz zgłoszenie. EROD zaznacza, że za zgłoszenie incydentu, który ostatecznie nie okazał się naruszeniem, nie ma kary (pkt 60).

Czego nie pisać w zgłoszeniu naruszenia danych osobowych

Zgłoszenie czyta urząd, który może potem dopytać o szczegóły. Jak wygląda takie pismo i ile masz czasu na odpowiedź, piszemy we wpisie Wezwanie z UODO - termin, odpowiedź i kara za brak współpracy. Dlatego piszesz tylko to, co potrafisz wykazać. Przy wycieku u dostawcy łatwo o trzy błędy:

Jeśli skopiowane dane nadają się do oszustwa, na przykład do podrobienia faktury, zaznacz w zgłoszeniu ten skutek. Motyw 85 RODO wymienia kradzież tożsamości i stratę finansową wśród szkód z naruszenia, a EROD radzi wskazywać takie kategorie wprost (pkt 51). Nazwę dostawcy możesz w zgłoszeniu podać. EROD uważa to za pomocne, zwłaszcza gdy to u niego jest źródło naruszenia, które dotknęło wielu administratorów (przykład przy pkt 54).

Co zrobić po zgłoszeniu naruszenia do UODO?

Wysłanie formularza nie zamyka sprawy. Zostają dwie rzeczy.

Wpis w rejestrze naruszeń

Każde naruszenie, także to, którego nie zgłaszasz, dokumentujesz: okoliczności, skutki i działania zaradcze (art. 33 ust. 5 RODO). To Twój rejestr naruszeń. Ta dokumentacja ma pozwolić urzędowi sprawdzić, czy postąpiłeś zgodnie z art. 33, także wtedy, gdy uznałeś, że zgłoszenie nie było potrzebne. Jeśli rejestru jeszcze nie masz, przygotujemy go w ramach dokumentacji RODO.

Zgłoszenie uzupełniające

Gdy dostawca udostępni szczegóły, składasz zgłoszenie typu „uzupełniające/zmieniające” z liczbą osób i kategoriami danych. Jeśli ryzyko dla osób jest wysokie i zawiadamiasz je na podstawie art. 34 RODO, w uzupełnieniu podajesz też datę zawiadomienia, liczbę zawiadomionych osób i treść zawiadomienia, o które pyta formularz UODO.

Najczęstsze pytania o zgłoszenie naruszenia do UODO

Pamiętaj: 72 godziny biegną od chwili, w której wiesz o wycieku, także w sobotę i niedzielę. Zgłoszenie wstępne z przybliżonymi danymi jest lepsze niż idealne, ale spóźnione. Jeśli chcesz, żeby przez taki dzień poprowadził Cię ktoś, kto robi to zawodowo, zajrzyj na stronę o usłudze Inspektor Ochrony Danych albo napisz do mnie.