Aktualizacja poradnika UODO dotyczącego naruszeń ochrony danych osobowych
Urząd Ochrony Danych Osobowych opublikował zaktualizowaną wersję poradnika na temat naruszeń ochrony danych osobowych.
Szukasz całości obowiązków przy naruszeniu? Terminy, próg zgłoszenia, zawiadomienie osób i rejestr naruszeń zebrałem w przewodniku: Naruszenie ochrony danych osobowych - przewodnik dla administratora. Ten wpis omawia sam poradnik UODO.
W skrócie: samo wystąpienie naruszenia nie jest jeszcze naruszeniem przepisów RODO. Naruszeniem przepisów jest niewykonanie obowiązków, które się z nim wiążą: oceny ryzyka, zgłoszenia do UODO w ciągu 72 godzin od stwierdzenia, zawiadomienia osób przy wysokim ryzyku i udokumentowania całości. Administrator, który miał procedury i ich przestrzegał, nie musi obawiać się sankcji za to, że incydent w ogóle się zdarzył.
Urząd Ochrony Danych Osobowych opublikował zaktualizowaną wersję poradnika na temat naruszeń ochrony danych osobowych. Dokument opisuje obowiązki administratorów i zawiera rekomendacje dotyczące zapobiegania incydentom.
Co zmieniło się w nowej wersji poradnika?
Zgodnie z komunikatem UODO, nowa wersja poradnika uwzględnia najnowsze interpretacje przepisów, aktualne orzecznictwo oraz praktyczne wskazówki dla administratorów. Dokument obejmuje szereg istotnych zagadnień, w tym:
- zaktualizowane procedury reagowania na naruszenia (w tym procedury zgłaszania naruszeń Prezesowi UODO)
- praktyczne przykłady i studia przypadków
- wytyczne dotyczące współpracy z Prezesem UODO oraz innymi organami nadzorczymi
- kluczowe rekomendacje w zakresie oceny ryzyka i zapobiegania naruszeniom
W poradniku szczególną uwagę zwrócono na kwestię odpowiedniego dokumentowania działań przez administratorów danych. Podkreślono, że administratorzy powinni być w stanie wykazać prawidłowe wykonywanie spoczywających na nich obowiązków poprzez gromadzenie odpowiedniej dokumentacji. Mogą to być notatki, instrukcje korespondencji, wyciągi z systemów, raporty z audytów czy testów bezpieczeństwa.
Co istotne, dokument wyraźnie wskazuje, że samo wystąpienie naruszenia ochrony danych osobowych nie stanowi naruszenia przepisów RODO. Naruszeniem przepisów jest natomiast niewykonywanie lub nieprawidłowe wykonywanie obowiązków wynikających z rozporządzenia.
Czy każde naruszenie kończy się karą?
UODO przypomina również, że rozporządzenie o ochronie danych osobowych nie nakłada na administratorów obowiązku zapobiegania wszelkim możliwym naruszeniom. Kluczowe znaczenie ma natomiast przestrzeganie ustalonych procedur. Dokument wyjaśnia, że w przypadku wystąpienia naruszenia pomimo prawidłowego realizowania obowiązków przez podmioty odpowiedzialne za bezpieczeństwo przetwarzania, nie muszą one obawiać się zastosowania wobec nich sankcji administracyjnych.
Według opublikowanego poradnika, główne przyczyny naruszeń ochrony danych osobowych obejmują:
- błędy ludzkie
- niewystarczające zabezpieczenia lub procedury
- działania cyberprzestępcze
- zamierzone nadużycia wewnętrzne
- czynniki fizyczne lub środowiskowe
Poradnik zwraca uwagę, że pomimo ciągłych starań administratorów i podmiotów przetwarzających zmierzających do ograniczenia występowania błędów, szkodliwe działania lub zaniechania (np. ze strony pracowników) pozostają jedną z najczęstszych przyczyn powstawania naruszeń ochrony danych osobowych.
Jak te przyczyny wyglądają w decyzjach UODO?
Każdą z wymienionych kategorii da się przypisać do konkretnej, opublikowanej decyzji organu:
| Przyczyna naruszenia | Decyzja i wpis |
|---|---|
| Niewystarczające zabezpieczenia | DKN.5131.9.2024 - niezaszyfrowany laptop |
| Brak nadzoru nad podmiotem przetwarzającym | DKN.5130.4179.2020 - McDonald’s Polska |
| Błąd ludzki i błędna konfiguracja | DKN.5131.27.2023 - dane o kwarantannie w wyszukiwarce |
| Brak podstawy prawnej i oceny ryzyka | DKN.5131.1.2025 - wybory kopertowe |
| Przejęcie konta i phishing | DKN.5131.34.2023 - poczta e-mail |
| Naruszenie u dostawcy oprogramowania | wyciek danych z systemu MyDr |
Najczęściej zadawane pytania
Czy samo wystąpienie naruszenia ochrony danych oznacza naruszenie RODO?
Jakie są najczęstsze przyczyny naruszeń ochrony danych osobowych według UODO?
Jaką dokumentację powinien gromadzić administrator, żeby wykazać prawidłowe wykonywanie obowiązków RODO?
Poradnik jest dostępny pod tym adresem.
Źródła
Stan prawny na dzień publikacji: . Wpis nie był od tego czasu weryfikowany pod kątem zmian w przepisach. Wpis jest informacją ogólną, nie poradą prawną (zasady publikacji).