Naruszenia, bajońskie kary, presja 72 godzin – czyli jak tu żyć… drogi GDPR :-)

Na początek może garść dość często przytaczanych, lecz bardzo istotnych faktów związanych z karami, jakie może zafundować naruszenie wymagań GDPR.

Na wstępie Art.83 mówi, iż każdy organ nadzorczy ma stosować kary, które będą, w każdym indywidualnym przypadku skuteczne, proporcjonalne i odstraszające (co do ostatniego punktu, można być w stu procentach przekonanym, że tak będzie). Co ważne GDPR obliguje także organ nadzorczy, aby „administracyjne kary pieniężne” nakładał, zależnie od okoliczności każdego indywidualnego przypadku. Co wydaje się być sprawiedliwym rozwiązaniem, aczkolwiek stłumionym przez możliwą skale, kar…

Dodatkowo, wspomniany artykuł wskazuje, iż należy zbadać

charakter, wagę, czas trwania naruszenia przy uwzględnieniu charakteru, zakresu lub celu danego przetwarzania, liczby poszkodowanych osób, których dane dotyczą, oraz rozmiaru poniesionej przez nie szkody, umyślny lub nieumyślny charakter naruszenia, działania podjęte przez administratora lub podmiot przetwarzający w celu zminimalizowania szkody poniesionej przez osoby, których dane dotyczą.

Dość ciekawym wskazaniem wydaje się być także to, iż GDPR mówi, że podmiot nadzorczy musi brać pod uwagę także: wszelkie stosowne wcześniejsze naruszenia ze strony administratora lub podmiotu przetwarzającego oraz stopień współpracy z organem nadzorczym w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych negatywnych skutków. Tak więc widzimy, że w świetle GDPR ważnego znaczenia nabiera stosowanie środków prewencyjnych, gdyż zapobieganie wcześniejszym naruszeniom może stać się „okolicznością łagodzącą” przy określaniu kary. Można tutaj pokusić się także o konkluzję mówiącą, że odpowiednio skonstruowane procedury reagowania na incydenty bezpieczeństwa informacji/cyberbezpieczeństwa, są także uznane za środek prewencyjny, pozwalający przygotować się na sytuacje materializacji ryzyka/wystąpienia naruszenia. Zakłada się, że takie działanie może zostać uznane za okoliczność łagodzącą.

Możliwy wymiar kar – czyli proszę o możliwie niski wysoki wymiar kary… :-)

O ile, wyżej opisane okoliczności prezentujące obszary brane pod uwagę podczas procesu oceny naruszeń wydają się dość przejrzyste i raczej nastawione na obiektywną ocenę okoliczność (także tych ładzących) wystąpienia naruszenie, o tyle wymiary kar wskazane w GDPR, są już bardzo wysokie i nie możemy ich uznać za „przyjazne przetwarzającemu” :-(.

Art.83.Par.4. mówi:

Naruszenia przepisów dotyczących następujących kwestii podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 10 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

Kara ta dotyczy sytuacji naruszeń w zakresie:

naruszeń obowiązków administratora i podmiotu przetwarzającego, obowiązków podmiotu certyfikującego, obowiązków podmiotu monitorującego.

Co bardzo ważne Art.83.Par.5. mówi o jeszcze wyższej karze:

Naruszenia przepisów dotyczących następujących kwestii podlegają zgodnie z ust. 2 administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.

W tym przypadku już znaczenie bardziej detalicznie określono typ naruszeń, za które może zostać wymierzona wyższa kara, a obejmują one:

naruszenie podstawowych zasad przetwarzania, w tym warunków zgody, naruszenie praw osób, których dane dotyczą, naruszenie obejmujące przekazywania danych osobowych odbiorcy w państwie trzecim lub organizacji międzynarodowej, wszelkich obowiązków wynikających z prawa państwa członkowskiego, nieprzestrzegania nakazu, tymczasowego lub ostatecznego ograniczenia przetwarzania lub zawieszenia przepływu danych orzeczonego przez organ nadzorczy lub niezapewnienia dostępu skutkującego naruszeniem.

Niestety w mojej ocenie znacznie częściej możemy mieć do czynienia z tą drugą sytuacją, a przez to podmioty przetwarzające dane osobowe są narażone na kary rzędu 20 000 000 EUR i więcej !. Przyjmując hipotetyczne założenie, że przyjęte okoliczności łagodzące zwolnią podmiot z 50% należnej kary to wartości rzędu 10 000 000 EUR czy też 2% rocznego światowego obrotu są wartościami bajońskimi dla większości przedsiębiorstw i organizacji.

Wydaje się, że konieczność zapłaty tak wysokich kar może spowodować niemożność przetrwania rynkowego organizacji na którą zostaną one nałożone. Pamiętajmy, że w sekcji regulacji definiującej „okoliczności łagodzące” nie wskazano na możliwość oceny aktualnej sytuacji finansowej organizacji przed nałożeniem kary. W kryteriach określania kar, występuje pewna niejasność powiązana ze stwierdzaniem: „całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego”.

Pytaniem pozostaje, jakie metody zostaną wykorzystane w celu określania wskazanej wartości. Pamiętajmy, że większość światowych koncernów i korporacji bazuje na „jednostkach prawnych” (zwykle spółkach prawa handlowego), które są tworzone dla specyficznych regionów tj. kraje, regiony geograficzno-prawne. Należy odpowiedzieć na pytanie, jak i kto w takich przypadkach będzie określał „całkowity roczny obrót”? W Art.83.Par.7 możemy zaobserwować pewien poziom „uprzywilejowania” organów publicznych, ponieważ regulacja GDPR mówi:

każde państwo członkowskie może określić, czy i w jakim zakresie administracyjne kary pieniężne można nakładać na organy i podmioty publiczne ustanowione w tym państwie członkowskim.

Pytaniem pozostaje, czy wynika z niego, że skala poziomu kar w obszarze instytucji publicznych może być ustalona stosownie do sytuacji finansowej danego kraju EU na tle innych Członków wspólnoty? To oczywiście pozostawiam ocenie każdego z odbiorców, natomiast w moim odczuciu (bez względu na poziom samooceny w zakresie dojrzałości posiadanego obecnie „systemu ochrony danych osobowych”) należy zaplanować minimum jego rewizje w najbliższym roku. Dodatkowym czynnikiem, jaki należy brać pod uwagę jest to, że srogi schemat kar, może być także wykorzystywany w nieuczciwej walce konkurencyjnej.

Zgłaszanie i reagowanie na naruszenia bezpieczeństwa danych osobowych

GDPR dość jasno, podobnie jak w przypadku poziomu kar, określa wytyczne dotyczące ram czasowych i sposobu reagowania na naruszenia bezpieczeństwa danych osobowych. Administrator danych osobowych, bez zbędnej zwłoki i w miarę możliwości, lecz nie później niż w okresie do 72 godzin po stwierdzeniu naruszenia, jest zobowiązany powiadomić o tym fakcie właściwy organ nadzorczy. Ważne jest, że jeśli organ nadzorczy zostanie poinformowany po terminie 72 godzin od stwierdzenia naruszenia, zgłaszający musi bezwzględnie wyjaśnić przyczynę zaistnienia opóźniania w zgłoszeniu. W przypadku stwierdzenia naruszenia ochrony danych osobowych przez przetwarzającego dane (działającego w imieniu administratora), przetwarzający jest zobligowany do zgłoszenia takiego faktu (bez zbędnej zwłoki) bezpośrednio administratorowi danych osobowych. Nie zostały jasno nakreślone ramy czasowe dla takiego zgłoszenia.

Natomiast, jako administrator danych osobowych (konstruując stosowne umowy z podmiotami, które będą przetwarzać dane w naszym imieniu) musimy zadbać, aby ustalony czas zgłaszania naruszeń przez przetwarzającego nie zagroził możliwości zgłoszenia naruszenia przez nas w czasie 72 godzin od jego zaobserwowania, do organu nadzorczego. W kontekście zgłaszania naruszeń bardzo duże znacznie ma przegotowanie i zaimplementowanie stosownych procedur reagowania, mówiących o tym, jakie informacje powinno zawierać zgłoszenie oraz o trybie postępowania w celu ograniczania negatywnych skutków naruszenia. Administrator jak i przetwarzający dane powinien także wdrożyć niezbędne środki techniczne pozwalające na (w miarę niezależne) zebranie i zabezpieczenie informacji o charakterze dowodowym.

Wdrożenie tego rodzaju zabezpieczeń pozostaje w bezpośrednim „interesie” administratora. Zgłoszenie naruszenia przez administratora powinno między innymi:

opisywać charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywać kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie, zawierać imię i nazwisko oraz dane kontaktowe inspektora ochrony danych lub oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji; opisywać możliwe konsekwencje naruszenia ochrony danych osobowych; opisywać środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

Wszystkie kroki podjęte w celu wyjaśnienia okoliczności zaistnienia naruszenia oraz podejmowanych kroków celu przeciwdziałania jego skutkom muszą być formalnie udokumentowane.

GDPR określa także odpowiedzialność administratora danych osobowych za powiadomienie osób, których dane mogły zostać narażone na niebezpieczeństwo. W myśl Art.34.Par.1:

Jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator bez zbędnej zwłoki zawiadamia osobę, której dane dotyczą, o takim naruszeniu.

Administrator danych osobowych może zostać zwolniony z tego obowiązku pod warunkiem, że: uprzednio wdrożył odpowiednie środki zabezpieczające uniemożliwiające wgląd w zbiory danych narażone na skutki naruszenia (przykładem takich środków może być zaimplementowanie zabezpieczeń kryptograficznych), zgłoszenie wymagałoby niewspółmiernie dużego wysiłku.

Podsumowując, wydaje się, że administratorzy i przetwarzający dane osobowe muszą zrewidować kontekst operacyjny stosowania procedur reagowania na naruszenia bezpieczeństwa zbiorów danych osobnych. Warto także pomyśleć nad większym usystematyzowaniem podejścia do zarządzania bezpieczeństwem informacji w organizacji. Pamiętajmy, że rzadko występują sytuacje, gdy systemy przetwarzania danych osobowych są wyizolowane ze struktur systemów IT organizacji. Wszystko to sprawia, iż możemy mieć do czynienia z teorią „najsłabszego ogniwa”, we wspomnianym kontekście, może dojść do wystąpienia naruszenia bezpieczeństwa danych osobowych z „wektora ataku”, który nie został prawidłowo rozpoznany w czasie konstruowania strategii bezpieczeństwa.

–Maciej Pokorniecki