Zgubienie sprzętu z danymi osobowymi – jak zareagować
Dowiedz się, jak postąpić w przypadku czasowej utraty sprzętu z danymi osobowymi.
Praca zdalna nie musi być wykonywana tylko w domu pracownika. Może się zdarzyć, że podwładny będzie ją wykonywał w miejscu publicznym, np. w parku. Co w sytuacji, gdy zgubi urządzenie, na którym istnieje dostęp do bazy danych osobowych przechowywanych przez pracodawcę?
Należy ustalić, czy doszło do naruszenia ochrony danych
Samo pozostawienie sprzętu z danymi osobowymi w miejscu publicznym nie jest jeszcze równoznaczne z naruszeniem ochrony danych. Jeżeli sprzęt zostanie odzyskany, wówczas należy, skorzystawszy z dostępnych możliwości technicznych, przede wszystkim ustalić, czy osoby nieuprawnione uzyskały dostęp do danych osobowych.
Konieczna analiza ryzyka
W tym celu powinniśmy rozważyć, czy konieczne jest dokonanie analizy ryzyka i oceny skutków przetwarzania dla ochrony danych. Ogólna analiza ryzyka to obligatoryjny dla wszystkich administratorów osobowych wymóg oceny tego, czy przetwarzanie danych osobowych w danej organizacji generuje ryzyka i jakie. Skoro bowiem to na administratorze ciąży obowiązek zapewnienia bezpieczeństwa przetwarzania danych osobowych, to ten sam administrator musi dokonywać okresowej ogólnej analizy ryzyk zagrażających temu przetwarzaniu.
Skoro zgodnie z zasadą rozliczalności z art. 5 ust. 2 RODO administrator musi być w stanie wykazać przestrzeganie przepisów rozporządzenia, to warto analizę ryzyka wykonać pisemnie czy też w formie elektronicznej i okresowo aktualizować.
Jak przeanalizować ryzyko
Ogólna ocena ryzyka może być przeprowadzona z użyciem dowolnej metodologii, aby tylko pozwoliła ona na rzetelną (tj. prawdziwą i kompletną) ocenę ryzyka – i to może stanowić przedmiot zainteresowania organu nadzorczego w toku ewentualnej kontroli. Jedną z powszechniej stosowanych metodologii jest SO/IEC 27002 – Praktyczne zasady zabezpieczania informacji.
Prezes UODO wyróżnił następujące etapy procesu oceny ryzyka:
- kontekst dla oceny ryzyka,
- opis i identyfikacja wymagań prawnych i techniczno-organizacyjnych,
- szacowanie i ocena ryzyka,
- postępowanie z ryzykiem.
Nie musimy przeprowadzać DPIA
Z kolei ocena skutków przetwarzania dla ochrony danych (DPIA) powinna być przeprowadzona, jeżelidany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych (art. 35 ust. 1 RODO).
Jeżeli dane nie zostały utracone, wówczas nie powstaje wysokie ryzyko naruszenia praw i wolności osób fizycznych. Dlatego nie ma konieczności przeprowadzania DPIA. Natomiast konieczne jest ogólne przeanalizowanie ryzyka. Innymi słowy, administrator powinien zastanowić się m.in. nad tym, czy i jakie prawa i wolności były zagrożone naruszeniem i czy doszło do naruszenia.
Pracownik położył laptopa obok siebie w tramwaju i zapomniał go zabrać. Laptop został odnaleziony. Administrator musi ocenić, czy w okresie w stanie pozbawienia dostępu do laptopa mógł wykonywać prawa podmiotów danych (jak rozumiem – pracowników), np. prawo dostępu do danych nie byłoby naruszone, gdy jest zarchiwizowana kopia tych danych.
Zawiadomienie Prezesa UODO nie zawsze konieczne
Sama czasowa utrata dostępu do sprzętu komputerowego nie jest jeszcze równoznaczna z naruszeniem ochrony danych. Jeżeli jednak dojdzie do nieuprawnionego dostępu do danych, to oczywiście należy zawiadomić o naruszeniu Prezesa UODO. Natomiast w przypadku gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych – także te osoby.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. UE.L. z 2016 r. nr 119, poz. 1) – art. 5 ust. 2, art. 33–35.
- Wpływ sztucznej inteligencji na ochronę danych osobowych
- Obowiązek informacyjny w związku z rozmową telefoniczną - jak przekazać klauzulę informacyjną RODO
- Księga główna przychodni zawiera dane osobowe o zdrowiu pacjentów
- Santander Bank Polska z wysoką karą UODO za niezgłoszenie naruszenia ochrony danych
- Linie lotnicze nie informują o usunięciu danych osobowych
- Anonimizacja danych osobowych w fakturach i umowach zawieranych przez spółdzielnię mieszkaniową
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
