Jednym z zadań UODO (Urządu Ochrony Danych Osobowych) jest przyjmowanie od administratorów zgłoszeń naruszeń ochrony danych osobowych, które mogą prowadzić do ryzyka naruszenia praw lub wolności osób fizycznych. Uzyskanie przez organ nadzorczy informacji o naruszeniu pozwala mu reagować i ograniczać skutki incydentów, co przekłada się na zwiększenie ochrony praw osób, których dane dotyczą.
Zgłoszenie naruszenia obowiązkiem administratora
Zgodnie z art. 33 ust. 1 rozporządzenia (UE) 2016/679 (RODO), w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia – zgłasza je właściwemu organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie skutkowało naruszeniem praw lub wolności osób fizycznych. Do zgłoszenia przekazanego po upływie 72 godzin należy dołączyć wyjaśnienie przyczyny opóźnienia.
Dostawca publicznie dostępnych usług telekomunikacyjnych musi zawiadomić Prezesa UODO o naruszeniu danych osobowych najpóźniej w ciągu 24 godzin od wykrycia naruszenia, zgodnie z art. 174a ust. 1 ustawy z 6 lipca 2024 r. – Prawo Telekomunikacyjne w związku z art. 2 ust. 2 rozporządzenia Komisji (UE) nr 611/2013.
Administrator ma również obowiązek podjąć skuteczne działania naprawcze i prewencyjne — w celu zapewnienia ochrony danych osób fizycznych, oceny efektywności dotychczasowych rozwiązań oraz określenia koniecznych usprawnień, aby zapobiec podobnym naruszeniom w przyszłości.
Jak zaznacza UODO w Sprawozdaniu, zgłaszanie naruszeń przez administratorów stanowi skuteczne narzędzie poprawy bezpieczeństwa przetwarzania danych osobowych.
Najczęstrze naruszenia w 2024 roku
W opublikowanym sprawozdaniu z działalności Prezesa Urzędu Ochrony Danych Osobowych za 2024 rok znalazła się obszerna analiza dotycząca najczęściej zgłaszanych naruszeń ochrony danych osobowych. Jak wynika z opracowania, mimo rosnącej świadomości w zakresie ochrony danych, wciąż dominują naruszenia wynikające z błędów ludzkich, niedbałości proceduralnej oraz niewystarczających zabezpieczeń technicznych.
Najczęściej zgłaszane incydenty obejmowały między innymi:
- Błędne zaadresowanie korespondencji – przypadki, w których przesyłki lub wiadomości elektroniczne trafiły do niewłaściwego odbiorcy. Tego typu naruszenia wynikały głównie z nieuwagi lub rutyny pracowników i choć często miały charakter jednostkowy, w praktyce mogły prowadzić do ujawnienia danych wrażliwych.
- Przekazanie danych osobom nieuprawnionym – sytuacje, w których dokumenty, zaświadczenia czy deklaracje zostały wydane osobom bez odpowiednich uprawnień. Nierzadko źródłem błędu był pośpiech lub brak jednoznacznej weryfikacji tożsamości w procesach obsługi klienta.
- Niewłaściwa anonimizacja danych – przypadki publikacji danych osobowych na stronach internetowych administratorów, np. w ramach Biuletynu Informacji Publicznej, bez właściwego usunięcia identyfikujących informacji. Takie uchybienia często wynikają z braku wiedzy o zasadach prawidłowego anonimizowania dokumentów.
- Utrata korespondencji – naruszenia spowodowane błędami operatorów pocztowych lub firm kurierskich, prowadzące do zagubienia przesyłek zawierających dane osobowe.
- Nieuprawniony dostęp do baz danych – incydenty wynikające z błędów oprogramowania, braku aktualizacji systemów, niewystarczających testów bezpieczeństwa czy słabych haseł użytkowników. W wielu przypadkach problemem był brak systematycznego nadzoru nad infrastrukturą IT.
- Zgubienie lub kradzież nośników danych – sytuacje, w których dochodziło do utraty laptopów, telefonów służbowych czy niezabezpieczonych pendrive’ów, często przechowujących dane osobowe bez odpowiedniego szyfrowania.
- Ataki z użyciem złośliwego oprogramowania – incydenty polegające na przełamaniu zabezpieczeń systemów informatycznych, nierzadko spowodowane korzystaniem z przestarzałego lub nielegalnego oprogramowania.
- Nieprawidłowe przechowywanie dokumentacji papierowej – pojedyncze przypadki wynikające z niedbalstwa pracowników, np. pozostawienia dokumentów na biurku, niezabezpieczonych szafek czy braku kontroli nad archiwizacją.
Zestawienie to jasno pokazuje, że ochrona danych osobowych wymaga nie tylko odpowiednich narzędzi technicznych, ale również konsekwentnego budowania kultury bezpieczeństwa w organizacji. Administratorzy danych powinni zwrócić szczególną uwagę na edukację pracowników, bieżące przeglądy procedur, kontrolę dostępu do danych oraz szyfrowanie nośników i urządzeń mobilnych. Regularne testowanie zabezpieczeń i aktualizacja oprogramowania to dziś podstawowy warunek minimalizowania ryzyka naruszeń. Równie istotne pozostaje tworzenie i ćwiczenie scenariuszy reagowania na incydenty, które pozwalają szybko ograniczyć ich skutki i wypełnić obowiązki wynikające z RODO.
Treść Sprawozdania z Działalności Prezesa Urzędu Ochrony Danych Osobowych w Roku 2024 znaleźć można na stronie internetowej pod adresem: https://uodo.gov.pl/pl/487/2279