Wyciek danych wrażliwych - co zrobić w pierwszych godzinach
ok. 5 min czytania
Zgubiony laptop z bazą klientów, e-mail z ofertą wysłany do złej grupy adresowej w kopii otwartej, przejęta skrzynka pocztowa, z której ktoś mógł pobrać wiadomości - w takich sytuacjach liczy się przede wszystkim to, co zrobisz w pierwszych godzinach. Ten artykuł to plan działania, nie opracowanie prawne - w konkretnych, poważniejszych przypadkach warto skonsultować się z prawnikiem lub inspektorem ochrony danych, jeśli firma go ma.
Krok 1: zatrzymaj wyciek
Zanim zaczniesz się zastanawiać nad formalnościami, zamknij źródło problemu: zmień hasła do przejętego konta, zdalnie wyloguj wszystkie sesje, zablokuj zgubione urządzenie, jeśli to możliwe. Każda dodatkowa godzina z otwartym dostępem to większy zakres potencjalnej szkody.
Krok 2: ustal, co dokładnie wyciekło
Zanim zdecydujesz o kolejnych krokach, musisz wiedzieć: jakich danych to dotyczy (adresy e-mail, numery telefonów, dane finansowe, hasła), ilu osób to dotyczy, i czy dane trafiły w ręce osób nieuprawnionych, czy tylko istniało takie ryzyko. To ustalenie decyduje o wszystkim, co dzieje się dalej.
Krok 3: sprawdź, czy musisz zgłosić to do UODO
Jeśli doszło do naruszenia ochrony danych osobowych, które może powodować ryzyko naruszenia praw lub wolności osób, których dane dotyczą, RODO nakłada obowiązek zgłoszenia tego do Prezesa Urzędu Ochrony Danych Osobowych - co do zasady w ciągu 72 godzin od stwierdzenia naruszenia. Nie każdy incydent trzeba zgłaszać (np. gdy ryzyko dla osób jest znikome), ale w razie wątpliwości bezpieczniej jest się upewnić niż zaryzykować karę za brak zgłoszenia.
Krok 4: rozważ poinformowanie osób, których dane dotyczą
Gdy naruszenie może powodować wysokie ryzyko dla konkretnych osób (np. wyciek haseł czy danych finansowych), RODO wymaga też poinformowania ich bezpośrednio - żeby mogły same podjąć kroki ochronne, np. zmienić hasła w innych miejscach, gdzie mogły ich używać.
Krok 5: udokumentuj wszystko
Zapisz, kiedy i jak dowiedziałeś się o incydencie, co zrobiłeś i kiedy, jakie dane były zagrożone i ile osób dotyczyło. Nawet jeśli ostatecznie uznasz, że zgłoszenie do UODO nie jest konieczne, ta dokumentacja jest dowodem, że potraktowałeś sprawę poważnie - może się przydać, gdyby ktoś kiedyś zapytał, jak firma zareagowała.
Masz podejrzenie wycieku danych właśnie teraz?
Nie czekaj, aż sytuacja się pogorszy - skontaktuj się z nami od razu, pomożemy ustalić skalę problemu i kolejne kroki. Jeśli chcesz przygotować się na taką sytuację, zanim się wydarzy, zobacz naszą usługę doradztwa informatycznego - obejmuje też przygotowanie procedur na wypadek incydentu.
Skontaktuj się z nami