W sierpniu dane blisko 19 mln pacjentów wyciekły z systemu MyDr, z którego korzysta około 12 tys. placówek medycznych. Pod koniec września włamano się do Fakturowni, z której korzystają setki tysięcy firm. W obu przypadkach zaatakowano dostawcę oprogramowania, a nie samych przedsiębiorców. Problem w tym, że z perspektywy RODO to nie zmienia wiele. Jeśli dane Twoich klientów były w systemie dostawcy, to Ty jesteś ich administratorem i to na Tobie ciążą obowiązki. Takich incydentów będzie przybywać, bo jedno włamanie do popularnego dostawcy daje przestępcom dostęp do danych tysięcy firm naraz. Rada „zachowaj spokój” jest więc słuszna, ale niewystarczająca. Spokój przychodzi łatwiej, gdy wiesz, co robić. Poniżej wyjaśniam, jak działać w pierwszych dniach po takiej informacji.
1. Wyciek u dostawcy to także Twój incydent
Większość firm traktuje system do faktur, CRM czy program gabinetowy jak zwykłe narzędzie. Prawnie wygląda to inaczej. Dostawca takiego systemu jest zwykle podmiotem przetwarzającym, który przetwarza dane w Twoim imieniu na podstawie umowy powierzenia. Administratorem danych Twoich klientów, kontrahentów i pacjentów pozostajesz Ty.
Dlatego po wycieku z MyDr obowiązki informacyjne spadły na poszczególne gabinety i przychodnie. Po incydencie w Fakturowni firmy korzystające z serwisu, w tym operator sieci ładowania samochodów elektrycznych czy sieć cukierni, zaczęły wysyłać własne zawiadomienia do klientów. Nie robiły tego z grzeczności. Robiły to, bo RODO tego od nich wymaga.
Komentarz prawny
„Najczęściej słyszę w takich sytuacjach: przecież to nie nas zhakowano. To prawda, ale dla UODO i dla Państwa klientów to argument drugorzędny. Wybraliście dostawcę i powierzyliście mu dane. Odpowiedzialność za reakcję na naruszenie zostaje po Państwa stronie, nawet jeśli później będziecie dochodzić roszczeń od dostawcy.” mec. Igor Sumara
2. Zegar tyka: 72 godziny na zgłoszenie do UODO
Art. 33 RODO wymaga, aby administrator zgłosił naruszenie ochrony danych osobowych Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia. Termin liczy się od momentu, w którym dowiedziałeś się o naruszeniu z wystarczającą pewnością. W praktyce jest to zwykle chwila otrzymania komunikatu od dostawcy.
Zgłoszenia nie trzeba robić tylko wtedy, gdy naruszenie prawdopodobnie nie powoduje ryzyka dla praw lub wolności osób, których dane dotyczą. Przy wycieku danych identyfikacyjnych, adresów, numerów telefonów, danych z faktur czy informacji o leczeniu trudno takie ryzyko wykluczyć. Dane te świetnie nadają się do przygotowania wiarygodnego oszustwa.
Nie musisz znać wszystkich szczegółów, żeby zgłosić naruszenie. RODO pozwala przekazywać informacje etapami. Lepiej złożyć zgłoszenie wstępne w terminie i je uzupełnić, niż czekać na pełny raport dostawcy i przekroczyć 72 godziny.
3. Co zrobić w pierwszej kolejności
Poniższa kolejność sprawdza się w praktyce. Część kroków można wykonywać równolegle.
Krok 1. Ustal, czy incydent dotyczy Twojej firmy
- Przeczytaj komunikat dostawcy i sprawdź skrzynkę, na którą zakładałeś konto.
- Zapisz, kiedy i z jakiego źródła dowiedziałeś się o incydencie. Od tej chwili biegnie termin na zgłoszenie.
- Jeśli dostawca nie napisał do Ciebie bezpośrednio, zapytaj go na piśmie, czy incydent obejmuje Twoje dane i jakich kategorii dotyczy.
Krok 2. Odetnij to, co mogło wyciec
- Zmień hasło do konta w serwisie i wszędzie tam, gdzie używano tego samego hasła.
- Wygeneruj nowe tokeny API i sprawdź, jakie integracje są podłączone do konta.
- Włącz uwierzytelnianie dwuskładnikowe.
- Przejrzyj listę użytkowników z dostępem i usuń zbędne konta.
Krok 3. Oceń ryzyko i podejmij decyzję o zgłoszeniu
Odpowiedz sobie na trzy pytania:
- Jakie kategorie danych mogły wyciec?
- Ilu osób mogą dotyczyć?
- Czy z tych danych da się przygotować wiarygodną próbę oszustwa?
Na tej podstawie zdecyduj, czy zgłaszasz naruszenie do UODO. Zapisz decyzję razem z uzasadnieniem. Jeśli nie zgłaszasz, musisz umieć wyjaśnić dlaczego.
Krok 4. Zawiadom klientów, jeśli ryzyko jest wysokie
Art. 34 RODO nakazuje zawiadomić osoby, których dane dotyczą, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności. Zawiadomienie powinno być napisane prostym językiem. Musi opisywać charakter naruszenia, jego możliwe skutki i podjęte działania. Powinno też podawać dane kontaktowe osoby, która udzieli dalszych informacji. Warto dodać konkretne wskazówki: nie podawaj haseł ani kodów BLIK, sprawdzaj adres nadawcy, nie płać pod wpływem presji czasu.
Krok 5. Ostrzeż księgowość i kontrahentów przed fałszywymi fakturami
Wyciek danych z systemu fakturowego to dla oszustów gotowa mapa relacji biznesowych. Wiedzą, kto komu wystawia faktury, na jakie kwoty i jak wyglądają dokumenty. Najbardziej prawdopodobny scenariusz to wiadomość o „zmianie numeru rachunku” od znanego kontrahenta. Poinformuj zespół, że każdą taką prośbę trzeba potwierdzić telefonicznie, pod numerem znanym z wcześniejszej współpracy. Przed przelewem sprawdź rachunek na białej liście podatników VAT.
Krok 6. Udokumentuj naruszenie
Art. 33 ust. 5 RODO wymaga dokumentowania każdego naruszenia, także takiego, którego nie zgłaszasz. Wpis w rejestrze naruszeń powinien obejmować okoliczności zdarzenia, jego skutki i podjęte działania. To pierwszy dokument, o który poprosi UODO w razie kontroli.
Rekomendacja praktyczna
- Zapisz datę i godzinę, w której dowiedziałeś się o incydencie.
- Zmień hasła, tokeny API i włącz uwierzytelnianie dwuskładnikowe.
- W ciągu 72 godzin zdecyduj o zgłoszeniu do UODO. W razie wątpliwości zgłoś wstępnie.
- Przy wysokim ryzyku zawiadom klientów i podaj im konkretne zasady ostrożności.
- Wprowadź zasadę telefonicznej weryfikacji każdej zmiany numeru rachunku.
- Uzupełnij rejestr naruszeń, nawet jeśli nie zgłaszasz incydentu.
4. Jeśli prowadzisz jednoosobową działalność, chroń także siebie
W jednoosobowej działalności dane firmy i dane osobowe przedsiębiorcy często się pokrywają. Imię i nazwisko, adres, telefon i e-mail mogły więc wyciec także w Twoim przypadku. Warto zastrzec numer PESEL w aplikacji mObywatel lub w urzędzie gminy. Uważaj też na wiadomości podszywające się pod dostawcę, bank, urząd skarbowy czy firmę kurierską. Dla oszusta prawdziwe dane w treści wiadomości to najlepszy sposób na uśpienie czujności.
5. Jakie konsekwencje grożą firmie
Za niezgłoszenie naruszenia lub brak zawiadomienia osób, których dane dotyczą, UODO może nałożyć administracyjną karę pieniężną do 10 mln EUR lub do 2% całkowitego rocznego światowego obrotu. Liczy się wyższa z tych kwot. Organ ocenia przy tym nie samo zdarzenie, ale przede wszystkim reakcję administratora.
Drugie ryzyko to roszczenia cywilne. Art. 82 RODO daje każdej osobie, która poniosła szkodę majątkową lub niemajątkową, prawo do odszkodowania od administratora lub podmiotu przetwarzającego. Po wycieku z MyDr jeden z pacjentów domaga się 30 tys. zł zadośćuczynienia. Zarzuca nie tylko sam wyciek, ale też zbyt późne powiadomienie. To dobry przykład tego, że spóźniona komunikacja może być osobną podstawą roszczenia.
Komentarz prawny
„Na sam wyciek u dostawcy przedsiębiorca nie ma wpływu. Ma natomiast pełny wpływ na to, co zrobi w ciągu kolejnych trzech dni. Tak też będzie to oceniane: czy firma działała szybko, czy rzetelnie oceniła ryzyko i czy jej klienci dostali na czas informację, jak się chronić.” mec. Igor Sumara
6. Po opanowaniu sytuacji: umowa z dostawcą i KSC
Kiedy pierwsze działania są za Tobą, wróć do umowy powierzenia przetwarzania danych. Sprawdź, w jakim terminie dostawca musi informować Cię o naruszeniach. Zobacz, jakie zabezpieczenia się zobowiązał stosować, czy masz prawo do audytu i jak ograniczono jego odpowiedzialność. Od tych zapisów zależy, czy i w jakim zakresie odzyskasz koszty obsługi incydentu albo kwoty wypłacone klientom.
Jeśli Twoja firma jest podmiotem kluczowym lub ważnym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, sprawdź także, czy zdarzenie u dostawcy wpływa na świadczone przez Ciebie usługi. W takim przypadku obowiązki zgłoszeniowe z KSC mogą biec niezależnie od RODO i w krótszych terminach. Bezpieczeństwo łańcucha dostaw jest zresztą jednym z elementów, które ustawa każe uwzględnić w zarządzaniu ryzykiem.
7. Najczęstsze pytania o wyciek danych u dostawcy
Czy muszę zgłaszać naruszenie do UODO, skoro zgłosił je już dostawca?
Zgłoszenie dostawcy nie zastępuje Twojego. Podmiot przetwarzający zgłasza naruszenie administratorowi, a administrator ocenia ryzyko i sam decyduje o zgłoszeniu do UODO. Jeśli korzystało z tego samego dostawcy tysiąc firm, każda z nich odpowiada za swoich klientów.
Od kiedy liczy się termin 72 godzin?
Od chwili, w której administrator stwierdził naruszenie, czyli uzyskał wystarczającą pewność, że do niego doszło. Przy incydencie u dostawcy jest to zwykle moment otrzymania od niego informacji. Dlatego warto zapisać, kiedy dokładnie to nastąpiło.
Co jeśli dostawca nie podaje jeszcze, czyje dane wyciekły?
Możesz zgłosić naruszenie wstępnie, opisując to, co już wiesz, i uzupełniać zgłoszenie w miarę napływu informacji. RODO wprost przewiduje taką możliwość. Czekanie na pełny raport nie jest bezpieczną strategią.
Czy muszę informować każdego klienta indywidualnie?
Co do zasady tak, jeśli ryzyko jest wysokie. RODO dopuszcza komunikat publiczny tylko wtedy, gdy indywidualne zawiadomienie wymagałoby niewspółmiernie dużego wysiłku. Zawiadomienie nie jest też potrzebne, gdy np. dane były skutecznie zaszyfrowane albo zastosowane środki wyeliminowały wysokie ryzyko.
Czy mogę dochodzić odszkodowania od dostawcy?
Tak, jeśli poniosłeś szkodę z jego winy. Zakres roszczeń zależy jednak w dużej mierze od umowy, w tym od klauzul ograniczających odpowiedzialność. Warto przeanalizować ją jeszcze zanim zaczniesz rozmowy z dostawcą.
Podsumowanie
- Wyciek u dostawcy oprogramowania jest naruszeniem także po stronie firmy, która mu powierzyła dane.
- Na decyzję o zgłoszeniu do UODO masz co do zasady 72 godziny od stwierdzenia naruszenia.
- Przy wysokim ryzyku musisz zawiadomić także osoby, których dane dotyczą.
- Największym praktycznym zagrożeniem po wycieku z systemu fakturowego są fałszywe prośby o zmianę rachunku.
- Kary i roszczenia częściej wynikają ze złej reakcji na incydent niż z samego incydentu.
- Wycieki u dostawców będą się powtarzać. Procedurę reagowania warto przygotować wcześniej, a nie w dniu, w którym przyjdzie komunikat.
Podstawa prawna: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO), w szczególności art. 4 pkt 12, art. 28, art. 33, art. 34, art. 82 oraz art. 83 ust. 4; ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa.
Autor: mec. Igor Sumara
Kancelaria IT, Wrocław
Dostałeś informację o wycieku u swojego dostawcy?
Pomożemy ocenić ryzyko, przygotować zgłoszenie do UODO i zawiadomienie dla klientów, a potem przejrzeć umowę powierzenia pod kątem roszczeń wobec dostawcy.
Skontaktuj się z nami →Artykuł ma charakter informacyjny. Nie stanowi porady prawnej w rozumieniu przepisów o świadczeniu pomocy prawnej. W celu uzyskania porady prawnej w konkretnej sprawie zapraszamy do kontaktu: kancelaria-it.pl
