Naruszenie ochrony danych osobowych w kancelarii - obowiązki i kary RODO

Kancelarie prawne przetwarzają jedne z najbardziej wrażliwych danych - akta klientów, dane o sprawach karnych, rozwodowych, majątkowych i zdrowotnych. Wszystko to jest objęte zarówno tajemnicą zawodową (adwokacką lub radcowską), jak i przepisami RODO, czyli rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, stosowanego wprost w Polsce, oraz polskiej ustawy z 10 maja 2018 r. o ochronie danych osobowych. Naruszenie ochrony danych w kancelarii rodzi twarde obowiązki: ocenę ryzyka, zgłoszenie do organu nadzorczego w 72 godziny, a czasem zawiadomienie samych klientów - pod rygorem dotkliwych kar finansowych. Poniżej wyjaśniamy, czym jest naruszenie, jakie ma rodzaje, jak wygląda procedura zgłoszenia i jak kancelaria może się zabezpieczyć - w realiach polskiego i unijnego prawa.

Czym jest naruszenie ochrony danych osobowych

Definicję podaje art. 4 pkt 12 RODO: naruszenie ochrony danych osobowych to naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. W praktyce kancelarii naruszeniem będzie: wysłanie pisma z danymi klienta do niewłaściwego adresata, zgubienie lub kradzież laptopa albo nośnika z aktami, atak ransomware szyfrujący repozytorium dokumentów, włamanie do skrzynki e-mail, ale też przypadkowe trwałe usunięcie akt bez kopii zapasowej. Co istotne, naruszeniem jest nie tylko 'wyciek' na zewnątrz - także wewnętrzny nieuprawniony dostęp pracownika, który nie powinien widzieć danej sprawy.

Trzy rodzaje naruszeń: poufność, integralność, dostępność

RODO i wytyczne Europejskiej Rady Ochrony Danych dzielą naruszenia na trzy typy. Naruszenie POUFNOŚCI to nieuprawnione lub przypadkowe ujawnienie albo dostęp do danych (np. e-mail wysłany do złego adresata, włamanie hakerskie). Naruszenie INTEGRALNOŚCI to nieuprawniona lub przypadkowa zmiana danych (np. modyfikacja akt klienta przez osobę bez uprawnień, błędne nadpisanie dokumentu). Naruszenie DOSTĘPNOŚCI to przypadkowy lub bezprawny brak dostępu do danych lub ich zniszczenie (np. ransomware, awaria serwera bez kopii zapasowej, pożar archiwum). Jedno zdarzenie może łączyć kilka typów naraz - atak ransomware często narusza i poufność (kradzież), i dostępność (zaszyfrowanie). Prawidłowa klasyfikacja jest punktem wyjścia do oceny ryzyka i decyzji o zgłoszeniu.

Obowiązek zgłoszenia do PUODO w 72 godziny

Zgodnie z art. 33 RODO administrator (kancelaria) ma obowiązek zgłosić naruszenie organowi nadzorczemu - w Polsce jest nim Prezes Urzędu Ochrony Danych Osobowych (PUODO) - bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin od stwierdzenia naruszenia. Wyjątek: zgłoszenie nie jest konieczne, jeżeli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Jeżeli zgłoszenie następuje po 72 godzinach, trzeba dołączyć wyjaśnienie opóźnienia. Zgłoszenie musi opisywać charakter naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, dane kontaktowe inspektora ochrony danych, możliwe konsekwencje i podjęte lub proponowane środki zaradcze. PUODO udostępnia formularz zgłoszenia online. Niezależnie od zgłoszenia, każde naruszenie - nawet niezgłaszane - należy odnotować w wewnętrznym rejestrze naruszeń (art. 33 ust. 5 RODO).

Kiedy trzeba zawiadomić klientów (osoby, których dane dotyczą)

Drugi obowiązek wynika z art. 34 RODO: jeżeli naruszenie może powodować WYSOKIE ryzyko naruszenia praw lub wolności osób fizycznych, kancelaria musi bez zbędnej zwłoki zawiadomić także te osoby (klientów). Zawiadomienie ma być sformułowane jasnym językiem i opisywać charakter naruszenia, dane kontaktowe IOD, możliwe konsekwencje oraz środki zaradcze, w tym to, co osoba może zrobić sama (np. zmienić hasło, monitorować rachunki). Zawiadomienie osób nie jest wymagane, gdy dane były zaszyfrowane lub objęte innymi środkami czyniącymi je nieczytelnymi, gdy kancelaria zastosowała środki eliminujące wysokie ryzyko, albo gdy wymagałoby to niewspółmiernie dużego wysiłku - wtedy stosuje się publiczny komunikat. W kancelarii, gdzie dane są chronione tajemnicą zawodową, próg wysokiego ryzyka bywa łatwo przekroczony, więc zawiadomienie klientów jest częste.

Kary za naruszenie RODO - ile realnie grozi

RODO przewiduje dwa pułapy administracyjnych kar pieniężnych (art. 83). Niższy - do 10 mln euro lub do 2% całkowitego rocznego światowego obrotu - dotyczy m.in. uchybień obowiązkom dokumentacyjnym i zgłoszeniowym (np. niezgłoszenie naruszenia). Wyższy - do 20 mln euro lub do 4% rocznego obrotu (zależnie od tego, która kwota jest wyższa) - obejmuje naruszenia podstawowych zasad przetwarzania i praw osób. W przypadku kancelarii prawnej (zwykle niewielkiego administratora) realne kary są rzędu od kilku do kilkudziesięciu tysięcy złotych, a ich wysokość PUODO ustala z uwzględnieniem wagi naruszenia, jego umyślności, liczby poszkodowanych i podjętych działań naprawczych. Oprócz kary administracyjnej w grę wchodzi odpowiedzialność cywilna wobec klienta (art. 82 RODO - odszkodowanie za szkodę majątkową i niemajątkową) oraz odpowiedzialność dyscyplinarna za naruszenie tajemnicy zawodowej.

Tajemnica zawodowa a RODO - szczególna sytuacja kancelarii

Kancelaria nie jest zwykłym administratorem - dane klientów są dodatkowo chronione tajemnicą adwokacką (art. 6 Prawa o adwokaturze) lub radcowską (art. 3 ustawy o radcach prawnych). To oznacza, że naruszenie ochrony danych w kancelarii zwykle jest jednocześnie naruszeniem tajemnicy zawodowej, co rodzi odpowiedzialność dyscyplinarną. Warto pamiętać, że uprawnienia PUODO wobec adwokatów i radców są ograniczone tam, gdzie kontrola wkraczałaby w tajemnicę zawodową - organ nie może żądać ujawnienia objętych nią informacji. Mimo to obowiązki w zakresie bezpieczeństwa danych (art. 32 RODO - odpowiednie środki techniczne i organizacyjne) obowiązują w pełni. Dlatego kancelaria powinna stosować szyfrowanie nośników, kontrolę dostępu do akt, kopie zapasowe i wewnętrzne procedury reagowania na incydenty.

Jak kancelaria powinna reagować i zapobiegać - plan działania

Praktyczny plan: (1) WYKRYCIE - zespół musi umieć rozpoznać incydent i wiedzieć, komu go zgłosić (najlepiej do IOD lub osoby odpowiedzialnej). (2) OCENA RYZYKA - klasyfikacja typu naruszenia i ustalenie, czy istnieje ryzyko dla praw osób (decyduje o zgłoszeniu do PUODO) oraz czy jest ono wysokie (decyduje o zawiadomieniu klientów). (3) ZGŁOSZENIE - do PUODO w 72 godziny, jeśli ryzyko jest realne; wpis do rejestru naruszeń zawsze. (4) ZAWIADOMIENIE OSÓB - przy wysokim ryzyku. (5) DZIAŁANIA NAPRAWCZE - usunięcie podatności, odtworzenie danych z kopii, zmiana haseł, wzmocnienie zabezpieczeń. ZAPOBIEGANIE obejmuje: regularne audyty i oceny ryzyka, szyfrowanie i kontrolę dostępu, kopie zapasowe testowane na odtworzenie, umowy powierzenia z dostawcami IT (art. 28 RODO) oraz cykliczne szkolenia personelu - bo większość naruszeń to błąd ludzki, a nie atak z zewnątrz.