Czym zajmuje się prawnik od cyberbezpieczeństwa i naruszeń danych?

Po wycieku danych albo włamaniu do systemów IT firma ma do rozwiązania nie tylko problem techniczny, ale i prawny. Trzeba ocenić, czy doszło do naruszenia ochrony danych osobowych, czy istnieje obowiązek zgłoszenia go do organu nadzorczego i osobom, których dane dotyczą, oraz jak ograniczyć ryzyko kar i roszczeń. Prawnik specjalizujący się w cyberbezpieczeństwie i ochronie danych prowadzi przez ten proces: doradza przed incydentem (polityki, umowy powierzenia, oceny ryzyka), a po incydencie kieruje reakcją prawną i reprezentuje firmę wobec organów oraz poszkodowanych.

Podstawy prawne w Polsce

Ochronę danych osobowych reguluje przede wszystkim RODO (rozporządzenie 2016/679) oraz ustawa z 10 maja 2018 r. o ochronie danych osobowych. Bezpieczeństwo tzw. usług kluczowych i cyfrowych porządkuje ustawa z 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, która wdraża unijną dyrektywę NIS (a docelowo NIS2). Najpoważniejsze ataki na systemy informatyczne są też przestępstwami: Kodeks karny penalizuje m.in. nieuprawniony dostęp do informacji (art. 267), niszczenie danych (art. 268 i 268a), zakłócanie pracy systemu (art. 269a) oraz tworzenie i udostępnianie narzędzi hakerskich (art. 269b). To pokazuje, że incydent może mieć równolegle wymiar administracyjny, cywilny i karny.

Co prawnik robi przed incydentem

Najtańszy incydent to ten, do którego nie dochodzi, dlatego duża część pracy ma charakter prewencyjny. Prawnik audytuje zgodność z RODO, przygotowuje politykę ochrony danych, rejestr czynności przetwarzania, klauzule informacyjne i umowy powierzenia przetwarzania z dostawcami IT. Pomaga wdrożyć adekwatne środki techniczne i organizacyjne (art. 32 RODO) oraz procedurę reagowania na naruszenia, tak by firma była gotowa działać w ustawowych terminach. W razie potrzeby wspiera też powołanie inspektora ochrony danych i szkoli pracowników z rozpoznawania phishingu i innych zagrożeń.

Co prawnik robi po incydencie

Po wykryciu naruszenia kluczowy jest czas. RODO wymaga, by administrator zgłosił naruszenie ochrony danych osobowych Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia (art. 33), a jeśli ryzyko dla osób jest wysokie - także zawiadomił te osoby (art. 34). Prawnik ocenia, czy obowiązek zgłoszenia rzeczywiście powstał, przygotowuje treść zgłoszenia i zawiadomień, dokumentuje incydent oraz reprezentuje firmę w ewentualnym postępowaniu przed PUODO. Doradza również, jak ograniczyć ryzyko roszczeń cywilnych z art. 82 RODO (odszkodowanie za szkodę wynikłą z naruszenia).