UODO: Elastyczne podejście do zgłaszania naruszeń danych osobowych w obliczu powodzi

W obliczu klęsk żywiołowych, takich jak powódź, priorytetem organizacji jest zapewnienie bezpieczeństwa ludziom oraz minimalizacja strat materialnych. W sytuacjach ekstremalnych, gdy infrastruktura ulega zniszczeniu, a ciągłość działania przedsiębiorstw czy jednostek publicznych zostaje przerwana, kwestie formalne związane z ochroną danych osobowych mogą schodzić na dalszy plan. Urząd Ochrony Danych Osobowych (UODO) wykazuje w takich przypadkach zrozumienie, wskazując na konieczność stosowania elastycznego podejścia do obowiązków wynikających z RODO, bez zwalniania z odpowiedzialności za bezpieczeństwo informacji.

Podejście oparte na analizie ryzyka

Zgodnie z ogólnym rozporządzeniem o ochronie danych, administratorzy są zobowiązani do zgłaszania naruszeń ochrony danych organowi nadzorczemu w terminie 72 godzin od ich wykrycia. Jednakże, w sytuacjach kryzysowych, gdy dostęp do systemów jest niemożliwy lub priorytetem staje się ratowanie życia, zasada ta podlega ocenie przez pryzmat realnych możliwości. UODO podkreśla, że każdorazowo należy dokonać analizy ryzyka. Jeśli naruszenie nie powoduje wysokiego ryzyka naruszenia praw lub wolności osób fizycznych, obowiązki sprawozdawcze mogą zostać ograniczone lub przesunięte w czasie do momentu ustabilizowania sytuacji operacyjnej.

Priorytety w obliczu zagrożenia

W sytuacjach nadzwyczajnych, takich jak powódź, kluczowe jest rozróżnienie między działaniami niezbędnymi dla ochrony życia a standardowymi procedurami administracyjnymi. Eksperci zalecają, aby w pierwszej kolejności:

• Zabezpieczyć fizycznie nośniki danych i dokumentację papierową przed zalaniem.
• Dokumentować wszystkie incydenty, nawet w formie uproszczonej, aby móc odtworzyć przebieg zdarzeń po ustąpieniu zagrożenia.
• Wdrożyć plany ciągłości działania (BCP), które uwzględniają scenariusze utraty dostępu do serwerowni.

Dokumentowanie działań

Nawet jeśli standardowe terminy zgłoszeniowe nie mogą zostać dotrzymane, transparentność wobec organu nadzorczego pozostaje fundamentem zaufania. Po ustąpieniu bezpośredniego zagrożenia, administrator powinien niezwłocznie podjąć czynności wyjaśniające. Ważne jest, aby w dokumentacji wewnętrznej rzetelnie opisać, dlaczego zgłoszenie nastąpiło z opóźnieniem oraz jakie kroki podjęto w celu ograniczenia skutków naruszenia. Taka postawa dowodzi odpowiedzialności administratora i jest brana pod uwagę przez organ nadzorczy podczas ewentualnych postępowań kontrolnych.

Współpraca z organem nadzorczym

UODO nie oczekuje, że w trakcie walki z żywiołem administratorzy będą skupiać się na wypełnianiu formularzy. Oczekuje jednak rozsądnego zarządzania kryzysowego. Warto pamiętać, że RODO przewiduje mechanizmy pozwalające na dostosowanie działań do okoliczności. Najważniejszą zasadą pozostaje bezpieczeństwo osób, których dane dotyczą. Jeśli wyciek danych jest skutkiem zniszczeń infrastrukturalnych, kluczowe jest podjęcie działań naprawczych, które uniemożliwią dostęp do danych osobom nieuprawnionym, gdy tylko warunki techniczne na to pozwolą.