Czym jest incydent bezpieczeństwa danych osobowych? Definicja, która kosztuje firmy najwięcej

Zacznijmy od fundamentu, czyli od tego, czym w rozumieniu prawa jest incydent bezpieczeństwa informacji. To pytanie wydaje się banalne, ale w praktyce właśnie błędna odpowiedź na nie kosztuje firmy najwięcej.

Definicja incydentu w świetle RODO

Zgodnie z art. 4 pkt 12 RODO naruszeniem ochrony danych osobowych jest każde zdarzenie prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

Definicja obejmuje trzy zasadnicze kategorie naruszeń:

• Naruszenie poufności – sytuacja, gdy dane trafiają do kogoś, kto nie powinien ich widzieć.

• Naruszenie integralności – gdy ktoś nieuprawniony dane zmodyfikował lub usunął.

• Naruszenie dostępności – gdy uprawniony użytkownik nie może skorzystać z danych wtedy, gdy tego potrzebuje.

Kluczowa obserwacja z perspektywy prawnej: incydentem jest nie tylko skuteczny atak, lecz każda sytuacja, która stwarza realne ryzyko któregokolwiek z tych naruszeń – w tym sama próba ataku.

To nie tylko spektakularny cyberatak

Za naruszenie uznaje się nie tylko wyciek danych do internetu czy atak hakerski, lecz również codzienne błędy ludzkie, takie jak:

• Zgubienie nośnika danych, np. pendrive'a.

• Wysłanie wiadomości e-mail z danymi osobowymi do niewłaściwego adresata.

• Pozostawienie wydruków zawierających dane osobowe w ogólnodostępnym miejscu.

To jest coś, co często zaskakuje przedsiębiorców – myślą, że incydent to tylko spektakularny cyberatak. Tymczasem błąd jednego pracownika przy wysyłaniu e-maila może uruchomić cały łańcuch obowiązków prawnych.

Najczęściej zadawane pytania

Czy sama nieudana próba ataku to już incydent bezpieczeństwa?

Tak. Z perspektywy prawnej incydentem jest każda sytuacja stwarzająca realne ryzyko naruszenia poufności, integralności lub dostępności danych – nie trzeba czekać na to, aby atak się powiódł.

Czy zgubienie pendrive'a albo wysłanie e-maila do złej osoby to naprawdę incydent?

Tak. RODO nie rozróżnia incydentów według tego, czy ich źródłem był cyberatak, czy błąd ludzki. Liczy się skutek – realne lub potencjalne zagrożenie dla danych osobowych.

Ile kategorii naruszeń wyróżnia RODO?

Trzy: naruszenie poufności, naruszenie integralności oraz naruszenie dostępności danych. Jedno zdarzenie może naruszać więcej niż jedną z tych kategorii jednocześnie.

Jeśli mają Państwo wątpliwości, czy dane zdarzenie w Państwa organizacji stanowi incydent bezpieczeństwa danych osobowych, zapraszamy do kontaktu z kancelarią.