Po wykryciu wycieku danych najpierw zabezpiecz konta i systemy, a następnie wybierz właściwy kanał zgłoszenia. Osoba poszkodowana zgłasza sprawę przede wszystkim administratorowi, policji lub CERT Polska, natomiast administrator danych może mieć obowiązek powiadomienia UODO w ciągu 72 godzin od stwierdzenia naruszenia.
Co zrobić natychmiast po wykryciu wycieku?
Nie czekaj na pełne ustalenie zakresu incydentu. W pierwszej kolejności ogranicz możliwość dalszego dostępu do danych, zmień hasła do zagrożonych kont i odłącz zainfekowane urządzenia lub systemy od sieci. Jeżeli naruszenie dotyczy organizacji, administrator powinien uruchomić wewnętrzną procedurę obsługi incydentu.
Nie usuwaj logów, wiadomości, kopii plików ani innych śladów zdarzenia. Mogą być potrzebne do ustalenia momentu naruszenia, jego zakresu i zastosowanych środków zaradczych. Osoba prywatna powinna także włączyć uwierzytelnianie dwuskładnikowe, zastrzec dokument tożsamości, jeśli doszło do ujawnienia jego danych, oraz obserwować rachunki i historię logowań.
Administrator danych i osoba, której dane wyciekły, mają różne obowiązki. Administrator ocenia ryzyko dla osób fizycznych i może zgłaszać naruszenie Prezesowi UODO. Poszkodowany nie składa takiego zawiadomienia w imieniu administratora, ale może zawiadomić policję lub prokuraturę, jeśli podejrzewa przestępstwo, a także zgłosić incydent do CERT Polska.
Jak zgłosić wyciek do UODO?
Obowiązek zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych wynika z RODO. Dotyczy administratora danych, gdy naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych. Zgłoszenie należy przekazać bez zbędnej zwłoki, w miarę możliwości w terminie 72 godzin od stwierdzenia naruszenia.
Jeżeli administrator nie dysponuje jeszcze wszystkimi informacjami, nie powinien automatycznie czekać z zawiadomieniem. Można przekazać zgłoszenie częściowe, a następnie uzupełnić je o ustalenia z analizy incydentu. Opóźnienie trzeba uzasadnić.
Procedura wygląda następująco:
- Ustal rolę podmiotu – zgłoszenie do UODO składa administrator danych, a w określonych sytuacjach jego przedstawiciel lub pełnomocnik.
- Oceń naruszenie – ustal, jakie dane zostały ujawnione, utracone, zmienione albo udostępnione osobie nieuprawnionej i jakie ryzyko powstało dla osób, których dane dotyczą.
- Przygotuj zawiadomienie – opisz charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów, możliwe konsekwencje, zastosowane środki zaradcze i dane kontaktowe inspektora ochrony danych lub innej osoby wyznaczonej do kontaktu.
- Wyślij formularz oficjalnym kanałem – skorzystaj z aktualnego formularza elektronicznego udostępnionego przez UODO lub gov.pl. Przed wysłaniem sprawdź, czy korzystasz z oficjalnej domeny urzędu.
- Uzupełniaj dokumentację – zachowaj potwierdzenie wysłania oraz dokumentuj dalsze ustalenia, decyzje i działania ograniczające skutki naruszenia.
Nie każde naruszenie wymaga zawiadomienia UODO. Administrator musi jednak przeprowadzić ocenę i udokumentować jej wynik. Gdy naruszenie może powodować wysokie ryzyko dla osób, których dane dotyczą, konieczne może być także niezwłoczne poinformowanie tych osób w jasny i zrozumiały sposób.
Gdzie zgłosić wyciek danych w zależności od sytuacji?
UODO zajmuje się nadzorem nad przestrzeganiem przepisów o ochronie danych osobowych. Policja lub prokuratura są właściwe, gdy podejrzewasz kradzież, oszustwo, włamanie albo inne przestępstwo. CERT Polska przyjmuje zgłoszenia incydentów dotyczących bezpieczeństwa teleinformatycznego. Te kanały mogą być użyte równolegle, ponieważ służą innym celom.
| Podmiot | Miejsce zgłoszenia | Cel | Termin |
|---|---|---|---|
| Administrator danych | Prezes UODO, przez oficjalny formularz elektroniczny | Zawiadomienie o naruszeniu ochrony danych osobowych | Bez zbędnej zwłoki, co do zasady do 72 godzin od stwierdzenia naruszenia, gdy występuje ryzyko |
| Osoba poszkodowana | Policja lub prokuratura | Zawiadomienie o podejrzeniu przestępstwa | Jak najszybciej, po zabezpieczeniu dowodów |
| Osoba poszkodowana lub administrator | CERT Polska | Przekazanie informacji o incydencie cyberbezpieczeństwa | Jak najszybciej, po wykryciu incydentu |
| Administrator danych | Osoby, których dane dotyczą | Ograniczenie wysokiego ryzyka i przekazanie informacji o zagrożeniu | Bez zbędnej zwłoki, gdy wymagają tego przepisy RODO |
Jeśli jesteś osobą prywatną, zacznij od kontaktu z podmiotem, który przechowywał dane, i poproś o informację o zakresie naruszenia oraz podjętych działaniach. Nie zastępuje to zgłoszenia na policję ani zawiadomienia CERT Polska, jeżeli doszło do ataku lub innego incydentu technicznego.
Jakie informacje przygotować przed zgłoszeniem?
Przed wysłaniem zawiadomienia zbierz informacje, które pozwolą opisać zdarzenie bez zgadywania. Nie opóźniaj zgłoszenia tylko dlatego, że część danych pozostaje nieustalona. Zaznacz wtedy, co jest potwierdzone, a co wymaga dalszej analizy.
Przydatne będą:
- Oś czasu zdarzenia – moment wykrycia, prawdopodobny początek naruszenia i godziny wykonanych działań.
- Opis zakresu – systemy, konta, urządzenia i przybliżona liczba osób lub rekordów objętych incydentem.
- Kategorie danych – na przykład dane kontaktowe, identyfikacyjne, finansowe, dotyczące zdrowia lub dane uwierzytelniające.
- Dowody techniczne – logi, alerty, nagłówki wiadomości, kopie komunikatów, adresy domen i informacje od dostawców usług.
- Ocena skutków – możliwe ryzyka, takie jak przejęcie konta, kradzież tożsamości, oszustwo lub naruszenie prywatności.
- Działania ograniczające – zmiana haseł, blokada dostępu, izolacja systemów, przywrócenie kopii zapasowej i kontakt z osobami zagrożonymi.
W przypadku ujawnienia danych zdrowotnych, finansowych, dokumentów tożsamości albo dużej liczby rekordów skonsultuj sposób postępowania z inspektorem ochrony danych lub prawnikiem specjalizującym się w ochronie danych. Informacje o aktualnych formularzach i wymaganiach należy sprawdzać bezpośrednio na stronach UODO i gov.pl.
Materiał ma charakter informacyjny i nie stanowi porady prawnej. Obowiązki administratora zależą od okoliczności konkretnego naruszenia. W sprawie indywidualnej skonsultuj się z prawnikiem, inspektorem ochrony danych lub skorzystaj z oficjalnych wytycznych UODO.
