Naruszenie integralności danych elektronicznych - jak działa prawnik?

Naruszenia bezpieczeństwa danych elektronicznych mają dwa wymiary: karny - gdy ktoś bezprawnie uzyskuje dostęp do danych, niszczy je lub zakłóca pracę systemów - oraz administracyjny, związany z obowiązkami wynikającymi z RODO. Prawnik zajmujący się tą tematyką doradza zarówno organizacjom (zgodność, reakcja na incydent, reprezentacja przed organem nadzorczym), jak i osobom poszkodowanym (np. ofiarom kradzieży tożsamości), które chcą dochodzić swoich praw i odszkodowania.

Przestępstwa przeciwko danym w Kodeksie karnym

Polski Kodeks karny chroni dane i systemy informatyczne w kilku przepisach. Art. 267 KK penalizuje bezprawne uzyskanie dostępu do informacji, m.in. przez przełamanie zabezpieczeń (hacking). Art. 268 KK dotyczy niszczenia, uszkadzania lub zmiany istotnej informacji, a art. 268a KK - danych informatycznych. Art. 269 KK chroni dane o szczególnym znaczeniu (np. dla obronności), zaś art. 269a KK penalizuje zakłócanie pracy systemu (np. atak typu DoS), a art. 269b KK - wytwarzanie i udostępnianie tzw. narzędzi hakerskich. Wymiar kary różni się w zależności od czynu - od grzywny po kilka lat pozbawienia wolności w typach kwalifikowanych. Konkretną kwalifikację i zagrożenie karą zawsze ustala się na podstawie okoliczności sprawy.

Obowiązki wynikające z RODO

Po stronie administratora danych kluczowe są obowiązki z RODO. Przetwarzanie musi mieć podstawę prawną i odbywać się zgodnie z zasadami z art. 5 i art. 6 RODO. W razie naruszenia ochrony danych osobowych administrator co do zasady zgłasza je organowi nadzorczemu (w Polsce - Prezesowi UODO) bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia (art. 33 RODO), chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw i wolności osób. Jeżeli naruszenie może powodować wysokie ryzyko, należy zawiadomić także osoby, których dane dotyczą (art. 34 RODO). Za uchybienia grożą administracyjne kary pieniężne.

Pomoc dla ofiar i organizacji

Osoba poszkodowana naruszeniem danych - np. ofiara kradzieży tożsamości czy wyłudzenia - może dochodzić roszczeń. RODO w art. 82 przewiduje prawo do odszkodowania od administratora lub podmiotu przetwarzającego za szkodę majątkową lub niemajątkową spowodowaną naruszeniem. Niezależnie od tego, jeżeli doszło do przestępstwa, poszkodowany może złożyć zawiadomienie do organów ścigania. Po stronie firm prawnik pomaga zbudować dokumentację (polityki, rejestry, oceny ryzyka), opracować plan reakcji na incydent i prowadzić sprawę przed UODO oraz w postępowaniach sądowych.