Wyciek danych kontrahentów a obowiązek zgłoszenia naruszenia do UODO – jak ocenić ryzyko

Nieuprawniony dostęp do baz kontrahentów i systemów fakturowych stał się w ostatnim czasie jednym z częściej odnotowywanych rodzajów incydentów bezpieczeństwa. W reakcji na tę serię zdarzeń Prezes UODO opublikował na stronie uodo.gov.pl komunikat, w którym przypomina, że o obowiązku zgłoszenia naruszenia nie decyduje sam fakt incydentu, lecz rzetelna, każdorazowo przeprowadzana ocena ryzyka dla osób, których dane dotyczą. Komunikat jest istotny przede wszystkim dla przedsiębiorców, którzy w swoich systemach przetwarzają dane klientów i dostawców prowadzących jednoosobową działalność gospodarczą – a więc w praktyce dla niemal każdej firmy.

Ramy prawne: art. 33 i 34 RODO

Zgodnie z art. 33 ust. 1 RODO w przypadku naruszenia ochrony danych osobowych administrator bez zbędnej zwłoki – w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

Konstrukcja przepisu jest istotna: zgłoszenie stanowi regułę, a jego brak – wyjątek, który administrator musi umieć uzasadnić. Termin 72 godzin biegnie od momentu stwierdzenia naruszenia, czyli od chwili, w której administrator uzyskał wystarczającą pewność, że doszło do incydentu dotyczącego danych osobowych. Obejmuje on również dni wolne od pracy. Jeżeli administrator nie dysponuje jeszcze pełną wiedzą o zdarzeniu, może dokonać zgłoszenia wstępnego i uzupełniać je etapami (art. 33 ust. 4 RODO). Zgłoszenie po terminie wymaga wskazania przyczyn opóźnienia.

W kontekście incydentów dotyczących systemów fakturowych warto pamiętać także o art. 33 ust. 2 RODO. Jeżeli do naruszenia doszło po stronie dostawcy oprogramowania – działającego zazwyczaj jako podmiot przetwarzający – ma on obowiązek bez zbędnej zwłoki poinformować o nim administratora. To jednak administrator, a nie dostawca systemu, odpowiada za ocenę ryzyka i decyzję o zgłoszeniu do Prezesa UODO.

Dane jawne z CEIDG – kiedy ryzyko jest mało prawdopodobne

Dane przedsiębiorców będących osobami fizycznymi pozostają danymi osobowymi w rozumieniu RODO, mimo że wiele z nich jest powszechnie dostępnych. Nie oznacza to jednak, że każde ich ujawnienie generuje ryzyko podlegające zgłoszeniu.

Z sytuacją, w której jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności, mamy do czynienia zazwyczaj w przypadku ujawnienia informacji o osobach prowadzących działalność gospodarczą, jeżeli obejmują one wyłącznie dane dostępne w jawnym rejestrze CEIDG – takie jak imię i nazwisko, nazwa firmy, NIP czy oficjalny adres działalności. Utrata poufności takich danych co do zasady nie daje osobom nieuprawnionym nowych możliwości działania na szkodę osoby, której dane dotyczą. Kluczowe jest tu właśnie kryterium „nowej możliwości”: jeżeli sprawca uzyskał informacje, które i tak mógł pozyskać w kilka sekund z publicznej wyszukiwarki, samo ich ujawnienie nie zwiększa istotnie zagrożenia dla przedsiębiorcy.

Ocena ta wymaga jednak ostrożności. Administrator powinien zweryfikować, czy w bazie rzeczywiście znajdują się wyłącznie dane rejestrowe, czy też – jak to często bywa w systemach CRM i fakturowych – zostały one uzupełnione o prywatny numer telefonu, prywatny adres e-mail, adres zamieszkania odmienny od adresu działalności czy notatki handlowe. Znaczenie ma także skala incydentu: wyciek kompletnej, ustrukturyzowanej bazy kontrahentów, nawet złożonej z danych jawnych, może ułatwić masowe kampanie phishingowe w sposób, którego nie umożliwia jednostkowe wyszukiwanie w rejestrze.

Kiedy zgłoszenie do Prezesa UODO jest obowiązkowe

Obowiązek zgłoszenia powstaje wtedy, gdy naruszenie może powodować ryzyko naruszenia praw lub wolności osób fizycznych. Dotyczy to w szczególności sytuacji, w których wraz z danymi powszechnie dostępnymi ujawniono również inne informacje, mogące umożliwić oszustwo, kradzież tożsamości, profilowanie lub wykorzystanie danych w działaniach socjotechnicznych. Prezes UODO wskazuje w tym kontekście przede wszystkim na:

• numer PESEL – którego ujawnienie wiąże się z ryzykiem kradzieży tożsamości, wyłudzeń i zaciągania zobowiązań finansowych na dane innej osoby; numer ten nie jest publicznie dostępny w CEIDG, a jego obecność w bazie kontrahentów istotnie zmienia ocenę incydentu,
• szczegóły zakupów lub usług wskazujące na stan zdrowia albo inne dane szczególnych kategorii – np. pozycje na fakturach za usługi medyczne, rehabilitacyjne czy psychologiczne, co rodzi ryzyko naruszenia prywatności, dyskryminacji lub nieuprawnionego profilowania,
• informacje finansowe – historię transakcji, kwoty, terminy płatności czy dane rachunków w powiązaniu z korespondencją handlową, które mogą posłużyć do przygotowania fałszywych faktur lub zleceń płatniczych.

Ostatnia kategoria zasługuje na szczególną uwagę w przypadku systemów fakturowych. Sam numer rachunku przedsiębiorcy będącego czynnym podatnikiem VAT bywa jawny (biała lista podatników VAT). Ryzyko nie wynika jednak z pojedynczej informacji, lecz z ich zestawienia: wiedza o tym, kto, komu, za co, w jakich kwotach i w jakim cyklu wystawia faktury, pozwala sprawcy przygotować wiarygodną wiadomość o „zmianie numeru rachunku” lub podrobioną fakturę, którą odbiorca opłaci bez podejrzeń. To typowy scenariusz oszustw typu BEC (business e-mail compromise), w którym szkoda materializuje się szybko i bywa trudna do odwrócenia.

Zawiadomienie osób, których dane dotyczą

Jeżeli analiza wykaże wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator powinien – zgodnie z art. 34 RODO – bez zbędnej zwłoki zawiadomić także osoby, których dane dotyczą. Próg jest tu wyższy niż przy zgłoszeniu do organu: art. 33 wymaga „ryzyka”, art. 34 – „wysokiego ryzyka”.

W przypadku wycieku z systemu fakturowego zawiadomienie kontrahentów ma przy tym wymiar nie tylko formalny, lecz także praktyczny. Rzetelna informacja o incydencie, opisująca jego prawdopodobne konsekwencje oraz zalecane środki ostrożności – np. weryfikację telefoniczną każdej prośby o zmianę numeru rachunku – jest często najskuteczniejszym sposobem ograniczenia szkody. Zawiadomienie powinno być sformułowane jasnym i prostym językiem oraz zawierać co najmniej informacje wskazane w art. 33 ust. 3 lit. b–d RODO, w tym dane kontaktowe inspektora ochrony danych lub innego punktu kontaktowego.

Art. 34 ust. 3 RODO przewiduje wyjątki od obowiązku zawiadomienia – m.in. gdy administrator wdrożył środki uniemożliwiające odczyt danych przez osoby nieuprawnione (np. skuteczne szyfrowanie) lub gdy zastosował następczo środki eliminujące prawdopodobieństwo wysokiego ryzyka. Zastosowanie każdego z tych wyjątków również wymaga udokumentowania.

Brak zgłoszenia nie oznacza braku obowiązków

Nawet jeśli administrator uzna, że dane naruszenie nie wymaga zgłoszenia Prezesowi UODO, nie zwalnia go to z obowiązku przeprowadzenia i udokumentowania oceny ryzyka oraz wskazania w wewnętrznym rejestrze naruszeń przesłanek uzasadniających brak zgłoszenia. Zgodnie z art. 33 ust. 5 RODO administrator dokumentuje wszelkie naruszenia ochrony danych osobowych – niezależnie od tego, czy zostały zgłoszone organowi nadzorczemu – w tym okoliczności naruszenia, jego skutki oraz podjęte działania zaradcze.

W praktyce to właśnie rejestr naruszeń jest pierwszym dokumentem, o który Prezes UODO zwraca się w toku kontroli lub postępowania wszczętego np. na skutek skargi kontrahenta. Lakoniczny wpis w rodzaju „dane jawne – brak ryzyka” nie spełnia wymogów rozliczalności (art. 5 ust. 2 RODO). Administrator powinien być w stanie wykazać, jakie kategorie danych zostały naruszone, ilu osób dotyczyło zdarzenie, jakie scenariusze szkody rozważono i dlaczego uznano je za mało prawdopodobne.

Jak przeprowadzić ocenę ryzyka w praktyce

Rzetelna ocena ryzyka po incydencie dotyczącym bazy kontrahentów lub systemu fakturowego powinna obejmować kilka kroków, wykonywanych możliwie równolegle z działaniami technicznymi.

W pierwszej kolejności należy ustalić rzeczywisty zakres incydentu: które systemy i tabele zostały naruszone, czy doszło wyłącznie do wglądu, czy także do skopiowania, modyfikacji lub usunięcia danych, oraz w jakim okresie sprawca miał dostęp. Na tym etapie niezbędna jest współpraca z dostawcą oprogramowania i działem IT – a w przypadku systemów zewnętrznych egzekwowanie obowiązków wynikających z umowy powierzenia.

Następnie trzeba zinwentaryzować kategorie danych, oddzielając dane rzeczywiście dostępne w CEIDG od informacji, które w rejestrze się nie znajdują: numerów PESEL, prywatnych danych kontaktowych, szczegółów transakcji, treści pozycji fakturowych, danych osób kontaktowych po stronie kontrahentów będących spółkami. Warto pamiętać, że baza kontrahentów obejmuje zazwyczaj nie tylko przedsiębiorców jednoosobowych, lecz także pracowników kontrahentów korporacyjnych – ich imiona, nazwiska, służbowe adresy e-mail i numery telefonów również są danymi osobowymi, a w CEIDG ich nie ma.

Kolejnym krokiem jest analiza realnych scenariuszy szkody: kradzieży tożsamości, oszustwa fakturowego, phishingu ukierunkowanego na kontrahentów, ujawnienia informacji o zdrowiu lub sytuacji finansowej. Przy ocenie wagi naruszenia pomocne są Wytyczne EROD 9/2022 w sprawie zgłaszania naruszeń ochrony danych osobowych oraz Wytyczne 01/2021 zawierające przykłady praktyczne, a także poradnik i narzędzia udostępniane przez UODO.

Wreszcie należy podjąć decyzję – o zgłoszeniu do organu, zawiadomieniu osób lub ich braku – i udokumentować ją wraz z uzasadnieniem w rejestrze naruszeń. Decyzja nie jest przy tym ostateczna: jeżeli w toku dalszej analizy ujawnią się nowe okoliczności (np. okaże się, że wyeksportowano również załączniki faktur), ocenę trzeba zaktualizować.

Najczęstsze błędy administratorów

Pierwszym i najpoważniejszym błędem jest automatyczne założenie, że dane przedsiębiorców „nie podlegają RODO” albo że ich ujawnienie nigdy nie wymaga zgłoszenia. Dane osób fizycznych prowadzących działalność gospodarczą są danymi osobowymi, a o braku obowiązku zgłoszenia decyduje wyłącznie wynik oceny ryzyka.

Drugim jest ocena incydentu przez pryzmat wyłącznie danych rejestrowych, bez sprawdzenia, jakie dodatkowe informacje rzeczywiście znajdowały się w systemie. W praktyce bazy kontrahentów rzadko ograniczają się do danych z CEIDG.

Trzecim jest oczekiwanie z decyzją na pełny raport techniczny dostawcy systemu. Termin 72 godzin biegnie niezależnie od tempa wewnętrznego dochodzenia – jeżeli ryzyka nie można wykluczyć, bezpieczniej jest dokonać zgłoszenia wstępnego i uzupełnić je później.

Czwartym jest brak wpisu w rejestrze naruszeń lub wpis niezawierający uzasadnienia. Nawet trafna merytorycznie decyzja o niezgłaszaniu naruszenia staje się trudna do obrony, jeżeli administrator nie potrafi wykazać, na jakiej podstawie ją podjął. Brak zgłoszenia naruszenia podlegającego zgłoszeniu, podobnie jak naruszenie obowiązku dokumentowania, może skutkować administracyjną karą pieniężną na podstawie art. 83 ust. 4 lit. a RODO – do 10 mln euro lub 2% całkowitego rocznego światowego obrotu.

Wnioski dla przedsiębiorców

Komunikat Prezesa UODO nie wprowadza nowych obowiązków, ale wyraźnie przesuwa akcent z pytania „czy dane były jawne?” na pytanie „czy incydent dał sprawcy nowe możliwości działania na szkodę osób, których dane dotyczą?”. Ujawnienie wyłącznie danych z CEIDG co do zasady nie będzie wymagało zgłoszenia, natomiast już ich połączenie z numerem PESEL, informacjami finansowymi lub danymi wskazującymi na stan zdrowia zazwyczaj taki obowiązek uruchamia.

Administratorzy powinni mieć przygotowaną procedurę reagowania na naruszenia, która pozwala w ciągu kilkudziesięciu godzin ustalić zakres incydentu, ocenić ryzyko i udokumentować decyzję. Warto także zweryfikować umowy powierzenia z dostawcami systemów fakturowych i CRM pod kątem terminów i zakresu informowania o incydentach – to od nich w dużej mierze zależy, czy administrator będzie w stanie dotrzymać terminu z art. 33 RODO.

Kancelaria ATL Law wspiera przedsiębiorców w ocenie ryzyka po incydentach bezpieczeństwa, przygotowaniu zgłoszeń do Prezesa UODO i zawiadomień osób, których dane dotyczą, a także w opracowaniu procedur zarządzania naruszeniami. Kontakt: office@atl-law.pl.