Jak udokumentować naruszenie danych po wycieku MyDR?

Dokumentacja jest tą częścią obsługi incydentu, którą najłatwiej odłożyć i najtrudniej nadrobić. Po dwóch miesiącach nikt nie pamięta, kiedy dokładnie placówka dowiedziała się o zdarzeniu, kto wysłał pierwsze pismo do dostawcy i na jakich założeniach oparto decyzję.

Tymczasem art. 33 ust. 5 RODO wymaga dokumentowania wszelkich naruszeń ochrony danych osobowych, aby organ nadzorczy mógł zweryfikować przestrzeganie przepisów. Obowiązek istnieje niezależnie od tego, czy naruszenie zostało zgłoszone.

Wewnętrzny rejestr naruszeń

Rejestr to podstawowy dokument. Nie musi być systemem informatycznym — wystarczy uporządkowana tabela, byle prowadzona konsekwentnie. Wpis dotyczący incydentu u dostawcy powinien zawierać kilka stałych pól. Obowiązek dokumentowania wynika z art. 33 ust. 5 RODO; materiały UODO dla administratorów.

• numer i data wpisu,
• data i godzina stwierdzenia naruszenia oraz źródło informacji,
• opis zdarzenia — z zaznaczeniem, że naruszenie wystąpiło u podmiotu przetwarzającego,
• wskazanie podmiotu przetwarzającego i podstawy współpracy (umowa powierzenia wraz z datą),
• kategorie danych i kategorie osób, których naruszenie może dotyczyć,
• przybliżona liczba osób i rekordów,
• wynik analizy ryzyka,
• decyzja o zgłoszeniu do organu nadzorczego wraz z uzasadnieniem,
• decyzja o zawiadomieniu osób wraz z uzasadnieniem,
• podjęte działania zaradcze,
• osoba odpowiedzialna za prowadzenie sprawy.

Chronologia zdarzeń

Osobny dokument, prowadzony na bieżąco. Każdy wiersz to jedno zdarzenie z datą, godziną i osobą. Nie wymaga stylu urzędowego — wymaga kompletności.

Typowa chronologia w tej sprawie zaczyna się od komunikatu publicznego lub informacji od dostawcy, potem obejmuje decyzję o wyznaczeniu osoby odpowiedzialnej, wystąpienie do dostawcy, jego odpowiedź lub jej brak po upływie określonego czasu, sporządzenie analizy ryzyka, decyzję administratora, ewentualne zgłoszenie, działania techniczne i komunikację z pacjentami.

Praktyczna wskazówka: notuj również zdarzenia negatywne. Zapis „14 dni od wystąpienia — brak odpowiedzi dostawcy" ma wartość dowodową i pokazuje, że placówka aktywnie dążyła do uzyskania informacji, czego oczekuje organ nadzorczy.

Korespondencja i źródła

Do akt sprawy trafia wszystko, co dokumentuje ustalenia. Rozproszenie tych materiałów po skrzynkach pocztowych kilku osób jest najczęstszą przyczyną luk.

• pisma i e-maile skierowane do dostawcy wraz z potwierdzeniami wysłania,
• odpowiedzi dostawcy w pełnej treści,
• komunikaty dostawcy publikowane na jego stronie — zapisane jako plik PDF lub zrzut ekranu z datą, ponieważ treść komunikatów bywa aktualizowana,
• komunikaty organu nadzorczego i ministerstw, na których placówka oparła ustalenia,
• notatki z rozmów telefonicznych z datą, godziną i nazwiskiem rozmówcy,
• kopia umowy powierzenia i wyciąg z rejestru czynności przetwarzania dotyczący tego systemu.

Zrzuty komunikatów mają w tej sprawie szczególne znaczenie. Komunikat dostawcy był aktualizowany, a dokumentacja ma odzwierciedlać stan wiedzy z momentu podejmowania decyzji — nie stan z chwili, w której ktoś ją później weryfikuje.

Zapis analizy ryzyka i decyzji

Analiza ryzyka jest odrębnym dokumentem, do którego rejestr się odwołuje. Powinna zawierać stan wiedzy, przyjęte założenia, ocenę skutków i prawdopodobieństwa, środki ograniczające ryzyko oraz dwa rozdzielone wnioski: co do zgłoszenia i co do zawiadomienia osób. Metodykę opisujemy w artykule Analiza ryzyka po wycieku MyDR.

Decyzja administratora powinna być podpisana przez osobę uprawnioną do reprezentowania placówki — kierownika podmiotu leczniczego, właściciela praktyki, członka zarządu. Inspektor ochrony danych opiniuje i doradza, ale nie zastępuje administratora w podejmowaniu decyzji.

Przechowywanie dokumentacji

RODO nie wskazuje jednego okresu przechowywania dokumentacji naruszeń. Przyjmuje się, że powinna być dostępna tak długo, jak długo może być potrzebna do wykazania zgodności — a więc co najmniej przez okres, w którym organ nadzorczy może prowadzić postępowanie, oraz przez czas ewentualnych roszczeń osób, których dane dotyczą.

W praktyce oznacza to przechowywanie przez kilka lat, w sposób zapewniający integralność zapisu i ograniczony dostęp. Dokumentacja naruszenia sama zawiera dane osobowe, więc podlega tym samym zasadom bezpieczeństwa co pozostała dokumentacja placówki.

Warto też, żeby akta sprawy zawierały na końcu krótkie podsumowanie z wnioskami: co zadziałało, czego brakowało w umowie powierzenia, jakie zmiany wprowadzono w procedurach. To materiał, który realnie skraca reakcję przy następnym incydencie. Szerzej o dokumentach RODO w firmie: Dokumentacja RODO dla firm.