Czy trzeba zgłosić wyciek MyDR do UODO?

Pytanie o zgłoszenie do organu nadzorczego jest w tej sprawie najczęstsze i jednocześnie najbardziej niewygodne, bo odpowiedź zależy od ustaleń konkretnej placówki. Poniżej wyjaśniamy, jakie elementy składają się na tę ocenę i gdzie leżą granice wyznaczone przez Prezesa UODO.

Zastrzeżenie na wstępie: to materiał informacyjny. Ocena obowiązku zgłoszenia w konkretnym przypadku należy do administratora danych i wymaga analizy jego sytuacji.

Dwie granice wyznaczone przez UODO

Naczelna Izba Lekarska wystąpiła do Prezesa UODO po licznych pytaniach lekarzy i podmiotów leczniczych korzystających z MyDR — powodem była rozbieżność między komunikatem dostawcy, sugerującym klientom, że na danym etapie nie muszą podejmować działań, a komunikatem organu nadzorczego przypominającym o obowiązkach z art. 33 i 34 RODO.

Z odpowiedzi wynikają dwie granice. Po pierwsze: z komunikatów nie wynika automatyczny obowiązek zgłoszenia naruszenia przez każdego administratora korzystającego z systemu. Po drugie: administrator nie może oprzeć się wyłącznie na stanowisku podmiotu przetwarzającego o braku konieczności zgłoszenia.

Między tymi granicami leży obowiązek własnej oceny. Administrator powinien ustalić, czy zdarzenie dotyczy danych, które powierzył do przetwarzania, a następnie ocenić, czy w jego sytuacji zachodzą przesłanki z art. 33 lub 34 RODO. Jeżeli nie ma do tego wystarczających informacji, powinien zwrócić się o nie do procesora.

Przesłanka zgłoszenia

Art. 33 RODO wiąże obowiązek zgłoszenia z ryzykiem: administrator zgłasza naruszenie, chyba że jest małe prawdopodobieństwo, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. Progiem nie jest więc rozmiar incydentu ani liczba osób, a ocena możliwych skutków dla tych osób.

W sprawie dotyczącej danych medycznych ta ocena wypada inaczej niż przy wycieku adresów e-mail. Dane dotyczące zdrowia należą do szczególnych kategorii danych, a w połączeniu z numerem PESEL umożliwiają zarówno próby podszycia się pod osobę, jak i naruszenie prywatności w obszarze szczególnie wrażliwym. Metodykę oceny opisujemy w artykule Analiza ryzyka po wycieku MyDR.

Od kiedy liczy się 72 godziny

Zgodnie z art. 33 ust. 1 RODO administrator zgłasza naruszenie bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po jego stwierdzeniu. Jeżeli zgłoszenie nastąpi po tym terminie, należy wyjaśnić przyczyny opóźnienia.

Kluczowe jest pojęcie stwierdzenia. UODO rozumie je jako uzyskanie dostatecznego stopnia pewności, że doszło do incydentu bezpieczeństwa prowadzącego do naruszenia ochrony danych osobowych. Nie jest to zatem moment otrzymania od dostawcy imiennego potwierdzenia, że incydent objął dane danej placówki.

Z tego powodu tak istotny jest zapis daty i źródła uzyskania wiedzy o incydencie, opisany jako drugi krok w instrukcji dla administratora.

Zgłoszenie etapowe

RODO przewiduje sytuację, w której administrator nie ma pełnych informacji. Art. 33 ust. 4 pozwala przekazać informacje sukcesywnie, bez zbędnej zwłoki — administrator zgłasza to, co wie, i uzupełnia zgłoszenie w miarę uzyskiwania kolejnych ustaleń.

W praktyce oznacza to, że brak odpowiedzi od dostawcy nie jest powodem do wstrzymania zgłoszenia, jeżeli placówka uznała, że przesłanka zgłoszenia jest spełniona. W zgłoszeniu warto wskazać podmiot przetwarzający, opisać stan wiedzy i zaznaczyć, jakie informacje pozostają w toku ustalania.

Co zawiera zgłoszenie

• charakter naruszenia oraz kategorie i przybliżoną liczbę osób i rekordów, których dotyczy,
• dane kontaktowe inspektora ochrony danych lub innej osoby, od której można uzyskać informacje,
• możliwe konsekwencje naruszenia,
• środki zastosowane lub proponowane w celu zaradzenia naruszeniu i zminimalizowania jego negatywnych skutków.

Zgłoszenia przyjmuje Urząd Ochrony Danych Osobowych — formularz i aktualne zasady dostępne są na stronie uodo.gov.pl.

Dokumentowanie decyzji

Niezależnie od wyniku oceny decyzja musi zostać zapisana. Jeżeli administrator uzna, że zgłoszenie nie było wymagane, to właśnie zapis analizy ryzyka wraz z uzasadnieniem jest jedynym materiałem, na którym może się oprzeć w razie pytań organu nadzorczego.

Zapis powinien obejmować stan wiedzy w momencie decyzji, przyjęte założenia, wynik oceny ryzyka i podpis osoby reprezentującej administratora. Zakres dokumentacji opisujemy w materiale Jak udokumentować naruszenie danych po wycieku MyDR.

Warto też pamiętać, że sposób i tempo reakcji administratora mają znaczenie przy ocenie naruszenia — dokumentacja pokazująca uporządkowane działanie od pierwszego dnia jest w tym kontekście wartością samą w sobie.