Wyciek listy klientów, błędnie zaadresowany e-mail z fakturą, zgubiony laptop lub przejęte konto pocztowe – każdy z tych przypadków może uruchomić pytanie: kto odpowiada za wyciek danych? W firmie odpowiedź rzadko brzmi: „ten jeden pracownik”. RODO rozdziela role i obowiązki, ale z perspektywy biznesu najważniejsze jest coś jeszcze: czy organizacja była przygotowana, aby ograniczyć skutki zdarzenia i właściwie na nie zareagować.
Odpowiedzialność za naruszenie ochrony danych może dotyczyć kilku stron jednocześnie. Inaczej odpowiada firma decydująca o celach przetwarzania danych, inaczej zewnętrzny dostawca IT, a jeszcze inaczej pracownik, który otworzył fałszywy załącznik. Warto rozumieć te różnice przed incydentem, a nie wtedy, gdy skrzynka mailowa jest już zablokowana przez atakujących.
Kto odpowiada za wyciek danych według RODO?
W większości sytuacji główna odpowiedzialność spoczywa na administratorze danych. Jest nim podmiot, który decyduje, po co i jak przetwarzane są dane osobowe. Dla danych klientów, kandydatów, pracowników czy kontrahentów będzie to zazwyczaj sama firma reprezentowana przez zarząd lub właściciela, a nie jej informatyk i nie producent używanego programu.
Administrator ma obowiązek wdrożyć środki techniczne i organizacyjne adekwatne do ryzyka. Nie chodzi o obietnicę, że wyciek nigdy się nie wydarzy. Takiej gwarancji nie daje żadna technologia. Chodzi o możliwość wykazania, że firma rozsądnie oceniła zagrożenia, zabezpieczyła środowisko i potrafi reagować.
W praktyce oznacza to między innymi kontrolę dostępów, aktualizacje systemów, kopie zapasowe, wieloskładnikowe uwierzytelnianie, procedury nadawania i odbierania uprawnień oraz szkolenia pracowników. Sama polityka bezpieczeństwa zapisana w segregatorze nie ochroni danych, jeśli pracownicy nadal używają wspólnego hasła do poczty.
Procesor, czyli zewnętrzny podmiot przetwarzający dane
Firma często powierza przetwarzanie danych innym podmiotom. Może to być biuro rachunkowe, operator systemu HR, dostawca hostingu, firma obsługująca kampanie marketingowe albo partner IT administrujący serwerami i kontami użytkowników. Taki podmiot jest zwykle procesorem.
Procesor odpowiada za przetwarzanie danych zgodnie z umową powierzenia i udokumentowanymi poleceniami administratora. Musi również stosować odpowiednie zabezpieczenia oraz bez zbędnej zwłoki poinformować administratora o wykrytym naruszeniu. Nie może ukryć incydentu pod hasłem „to tylko problem techniczny”.
To nie zwalnia administratora z odpowiedzialności za wybór dostawcy i nadzór nad współpracą. Jeżeli firma powierza dane przypadkowemu wykonawcy, nie weryfikuje jego praktyk i nie zawiera właściwej umowy, ponosi ryzyko. Z drugiej strony profesjonalny dostawca nie powinien bezrefleksyjnie realizować poleceń, które naruszają przepisy lub bezpieczeństwo danych.
Pracownik nie zawsze odpowiada samodzielnie
Błąd pracownika bywa bezpośrednią przyczyną wycieku. Przykładowo handlowiec wysyła ofertę wraz z danymi wszystkich odbiorców w polu „Do”, księgowa przekazuje dokument oszustowi podszywającemu się pod kontrahenta, a użytkownik instaluje program z niepewnego źródła. To realne scenariusze, nie wyjątki.
Nie oznacza to jednak automatycznie, że cała odpowiedzialność przechodzi na tę osobę. Pracownik działa zwykle w strukturze firmy i na jej polecenie. Należy więc sprawdzić, czy miał właściwe uprawnienia, przeszedł szkolenie, znał procedurę oraz czy firma udostępniła narzędzia ograniczające ryzyko.
Inaczej należy oceniać rażące niedbalstwo lub działanie umyślne, na przykład celowe wyniesienie bazy klientów. Wtedy możliwa jest odpowiedzialność pracownicza, cywilna, a w niektórych przypadkach także karna. Każdy przypadek wymaga jednak oceny faktów, umów i obowiązujących w firmie zasad. Szukanie winnego w pierwszej godzinie incydentu zwykle nie pomaga ani danym, ani biznesowi.
Nie każdy incydent jest wyciekiem danych
W języku potocznym „wyciek” oznacza ujawnienie informacji osobom nieuprawnionym. RODO posługuje się szerszym pojęciem naruszenia ochrony danych osobowych. Może ono dotyczyć nie tylko poufności, ale też dostępności i integralności danych.
Jeżeli ransomware zaszyfruje pliki kadrowe, dane mogą nie zostać ujawnione, ale firma może utracić do nich dostęp. Jeżeli pracownik omyłkowo zmieni numery rachunków klientów, problemem jest naruszenie integralności. Jeżeli laptop z niezaszyfrowanym dyskiem zaginie w podróży, nie trzeba mieć dowodu, że ktoś odczytał pliki, aby potraktować sytuację poważnie.
Ta kwalifikacja ma znaczenie, ponieważ nie każdy incydent wymaga zgłoszenia do Prezesa Urzędu Ochrony Danych Osobowych. Każdy powinien jednak zostać odnotowany, oceniony i obsłużony według ustalonej procedury. Brak zgłoszenia jest uzasadniony tylko wtedy, gdy naruszenie raczej nie powoduje ryzyka naruszenia praw lub wolności osób fizycznych. To ocena ryzyka, a nie decyzja podejmowana na podstawie przeczucia.
Co firma powinna zrobić po wykryciu naruszenia?
Pierwszą reakcją powinna być ochrona środowiska i dowodów. Trzeba odizolować zainfekowane urządzenie lub konto, zmienić zagrożone hasła, zablokować podejrzane sesje i sprawdzić, czy atak nie objął innych zasobów. Równocześnie nie należy chaotycznie usuwać plików, resetować wszystkich systemów ani prowadzić rozmów z atakującym bez planu. Takie działania mogą utrudnić ustalenie skali zdarzenia.
Następnie warto szybko zebrać konkrety: jakie dane objął incydent, ilu osób dotyczą, kto mógł uzyskać dostęp, od kiedy trwało zdarzenie oraz jakie mogą być skutki dla osób, których dane dotyczą. Inne ryzyko wiąże się z ujawnieniem służbowego adresu e-mail, a inne z dostępem do skanów dowodów, danych zdrowotnych lub informacji bankowych.
Jeżeli naruszenie wymaga zgłoszenia do organu nadzorczego, administrator powinien co do zasady zrobić to w ciągu 72 godzin od stwierdzenia naruszenia. Termin nie oznacza, że w trzy dni trzeba znać odpowiedź na każde pytanie. Zgłoszenie można uzupełniać, ale firma powinna umieć wykazać, kiedy dowiedziała się o incydencie i jakie działania podjęła.
Gdy istnieje wysokie ryzyko dla praw i wolności osób, których dane dotyczą, konieczne może być również jasne zawiadomienie tych osób. Komunikat powinien mówić prostym językiem, czego dotyczy zdarzenie, jakie może mieć konsekwencje i co odbiorca może zrobić, aby się zabezpieczyć. Lakoniczne „doszło do problemu technicznego” nie buduje zaufania.
Odpowiedzialność zarządu nie kończy się na podpisaniu umowy
Zarząd nie musi sam konfigurować zapory sieciowej ani analizować logów serwera. Musi jednak zadbać o to, by ktoś kompetentny robił to regularnie, a ryzyka były raportowane i traktowane poważnie. Odpowiedzialne zarządzanie obejmuje budżet na bezpieczeństwo, wybór dostawców, decyzje o dostępach, egzekwowanie procedur oraz gotowość na przerwę w działaniu systemów.
W małej i średniej firmie szczególnie groźna jest sytuacja, w której cała wiedza o IT pozostaje u jednej osoby, konta administracyjne są współdzielone, a kopie zapasowe nigdy nie zostały przetestowane. Pozornie oszczędza to czas. Do pierwszego incydentu.
Dobrze zorganizowana stała opieka IT pomaga uporządkować te obszary: zinwentaryzować urządzenia i oprogramowanie, rozdzielić uprawnienia, wdrożyć kopie zapasowe oraz ustalić drogę zgłaszania problemów. Ceprobi podchodzi do takich działań jako do elementu ciągłości biznesu, nie dodatku instalowanego po ataku.
Jak ograniczyć ryzyko sporów po wycieku?
Najlepszą linią obrony nie jest szukanie zapisu, który przerzuci całą winę na pracownika lub dostawcę. Jest nią uporządkowany model odpowiedzialności. Firma powinna wiedzieć, kto administruje kontami, kto zatwierdza dostępy, gdzie są przechowywane dane, którzy dostawcy je przetwarzają i jak wygląda eskalacja incydentu.
Warto regularnie sprawdzać umowy powierzenia, rejestry czynności przetwarzania, uprawnienia byłych pracowników oraz skuteczność kopii zapasowych. Równie potrzebne są krótkie, powtarzalne szkolenia. Phishing nie przestaje działać dlatego, że firma raz przesłała prezentację o bezpieczeństwie.
Odpowiedzialność za wyciek danych zawsze ma wymiar prawny, finansowy i wizerunkowy. Najbardziej dojrzałe firmy nie czekają, aż incydent wskaże ich słabe miejsca. Sprawdzają je wcześniej, gdy stawką jest jeszcze czas na spokojne poprawki, a nie zaufanie klientów i ciągłość pracy.