Co zawrzeć w procedurze reagowania na incydenty

Administrator po przybyciu na miejsce naruszenia prawidłowego przetwarzania danych osobowych bądź podejrzenia takiego naruszenia powinien podjąć następujące czynności:

• zapoznać się z okolicznościami zdarzenia;

• ocenić, czy występuje ryzyko naruszenia praw lub wolności osób fizycznych na skutek zaistniałego zdarzenia;

• dokumentować zaistniałą sytuację zgodnie z przyjętą dokumentacją na wypadek zaistnienia naruszenia;

• podjąć odpowiednie działania zaradcze;

• w przypadku naruszenia praw i wolności osób lub realnego prawdopodobieństwa wystąpienia takiego ryzyka następuje zgłoszenie zaistniałej sytuacji do organu nadzorczego w terminie 72 godzin od stwierdzenia naruszenia.

Zgłoszenie o naruszeniu powinno zawierać określenie takich informacji, jak:

• opis zdarzenia ze wskazaniem miejsca i czasu,

• wskazanie osób odpowiedzialnych za zdarzenie,

• wskazanie osoby zgłaszającej,

• określenie wstępnej oceny zdarzenia przez administratora,

• wskazanie, jakie dalsze kroki poczyni administrator.

Pobierz wzór zgłoszenia naruszenia bezpieczeństwa ochrony danych do administratora>>

W trakcie dokonywania oceny, czy występuje ryzyko ich naruszenia, administrator powinien brać pod uwagę wszelkie negatywne skutki, jak też krzywdy, które mogą wyniknąć z danego zdarzenia dla osób fizycznych, np. utrata kontroli nad własnymi danymi osobowymi, utrata zaufania społecznego, negatywne konsekwencje wizerunkowe, kradzież tożsamości, straty finansowe, negatywny odbiór w społeczeństwie.

Pobierz wzór karty oceny incydentu>>

Wśród podstawowych zasad można wymienić:

1. powstrzymanie się od rozpoczętej lub od kontynuowania pracy, jak również od podejmowania jakichkolwiek czynności mogących spowodować zatarcie śladów naruszenia bądź innych dowodów;

2. zabezpieczenie elementów systemu informatycznego lub dokumentacji;

3. podjęcie, stosownie do zaistniałej sytuacji, wszelkich niezbędnych działań celem zapobieżenia dalszym zagrożeniom, które mogą skutkować utratą danych osobowych oraz innymi naruszeniami;

4. bez wyraźnego wskazania nie opuszczać miejsca zdarzenia do czasu przybycia administratora danych.

Chodzi tu przede wszystkim o:

• zabezpieczenie danych osobowych na informatycznym nośniku danych lub dokonanie wydruku tych danych;

• sporządzenie notatki z czynności, w szczególności z zebranych wyjaśnień, przeprowadzonych oględzin oraz z czynności związanych z dostępem do urządzeń, nośników oraz systemów informatycznych służących do przetwarzania danych osobowych;

• odebranie wyjaśnienia od osoby, której czynności ujawniono jako naruszenie;

• sporządzenie kopii otrzymanych dokumentów;

• sporządzenie kopii obrazu wyświetlonego na ekranie urządzenia stanowiącego część systemu informatycznego służącego do przetwarzania lub zabezpieczania danych osobowych;

• sporządzenie kopii zapisów rejestrów systemu informatycznego służącego do przetwarzania danych osobowych lub zapisów konfiguracji technicznych środków zabezpieczeń tego systemu.