Case Study: Mail do niewłaściwego odbiorcy

Sytuacja: Zestawienie z danymi 312 uczestników szkoleń trafiło na prywatny adres e-mail zamiast do osoby w firmie. Historia tego zdarzenia - od pierwszej minuty do podjęcia decyzji o zawiadomieniu urzędu.

Oś czasu zdarzeń

8:41

Wysyłka do niewłaściwego odbiorcy

Autouzupełnianie adresu e-mail podpowiedziało złą osobę - Annę prywatną zamiast Anny z firmy.

Mail zawierał: imiona, nazwiska, adresy e-mail i numery telefonów 312 osób. Załącznik wysłany bez hasła.

8:52

Próba wycofania - brak skutku

Wycofanie wiadomości nie zadziałało. Odbiorczyni ma skrzynkę poza organizacją.

Wycofanie działa tylko wewnątrz domeny firmy. Dla skrzynek zewnętrznych jedynym sposobem jest bezpośrednia prośba do odbiorcy.

8:54

Zgłoszenie do inspektora ochrony danych

Natychmiastowe powiadomienie osoby odpowiedzialnej za bezpieczeństwo danych.

Inspektor ochrony danych (IOD) zbiera informacje potrzebne do oceny: adresat, godzina, zakres danych, liczba osób dotkniętych.

8:58

Kontakt z odbiorczynią - formalny

Pismo z firmowej skrzynki, z IOD w kopii, zawierające precyzyjną prośbę o działania.

Prośba zawierała: trwałe usunięcie wiadomości i załącznika, opróżnienie kosza, pisemne potwierdzenie. Plus pytania: czy plik otworzył, pobrał, zapisał, przesłał dalej.

Następny dzień

Odpowiedź odbiorcy + ocena zdarzenia

Odbiorczyni potwierdziła usunięcie. Na podstawie faktów i odpowiedzi IOD ocenia, czy doszło do naruszenia ochrony danych.

Ocena wzięła pod uwagę: czy plik został otwarty, czy zawartość mogła być odczytana, ile czasu upłynęło zanim prośba dotarła. Jeśli IOD nie stwierdzi naruszenia, brak obowiązku zawiadomienia PUODO (Prezes Urzędu Ochrony Danych Osobowych).

Pytania refleksyjne

Pytanie 1

Dlaczego ważne jest, żeby zawiadomienie poszło do inspektora ochrony danych - zanim wyślemy prośbę do odbiorcy?

Odpowiedź eksperta: IOD koordynuje cały proces i stanowi łącznik między organizacją a ewentualnym zawiadomieniem urzędu. Jeśli najpierw wyślesz własną prośbę bez koordynacji, możesz pominąć ważne pytania, będziesz mieć niekompletne informacje do oceny, a organizacja straci czas potrzebny na prawidłową dokumentację zdarzenia.

Pytanie 2

Odbiorczyni nigdy nie odpowiada. Czy to oznacza, że dane na pewno nie zostały odczytane?

Odpowiedź eksperta: Nie. Brak odpowiedzi wcale nie oznacza, że dane są bezpieczne. Organizacja musi oprzeć się na faktach znanych w momencie zdarzenia: rodzaj danych, liczba osób, czas od wysyłki do zgłoszenia. IOD podejmie decyzję o zawiadomieniu urzędu na podstawie tych faktów, nie czeka na potwierdzenie dostępu.

Czy znasz procedurę? Kliknij, aby rozwinąć

+ Krok 1: Wykrycie błędu wysyłki

Zauważ czy błąd - najlepiej w pierwszej minucie
Nie ignoruj świadomości: „może się nic nie stanie"
Każdy mail do osób z poza organizacji to potencjalne naruszenie danych osobowych

+ Krok 2: Natychmiastowe zgłoszenie do IOD

Zgłoś do inspektora ochrony danych bez zwłoki
Podaj: adresata, godzinę wysyłki, rodzaj i zakres danych, liczbę osób
Zgłoszenie idzie zaraz - wycofanie wiadomości to działanie pomocnicze

+ Krok 3: Próba ograniczenia skutków

Jeśli to możliwe, wycofaj wiadomość (może zadziałać wewnątrz firmy)
Jeśli odbiorczyni jest na zewnątrz - wycofanie nie zadziała
Przygotuj formalną prośbę do odbiorcy

+ Krok 4: Kontakt z odbiorcą - wg procedury

Pismo na firmowym papierze, z IOD w kopii
Prośba o: trwałe usunięcie wiadomości i załącznika, opróżnienie kosza, potwierdzenie na piśmie
Pytania: czy plik otworzył, pobrał, zapisał, przesłał dalej

+ Krok 5: Ocena zdarzenia i decyzja o zawiadomieniu

IOD (z wsparciem administratora) ocenia, czy doszło do naruszenia ochrony danych
Jeśli tak, organizacja ma obowiązek zawiadomić PUODO w ciągu 72 godzin
Osób dotkniętych zawiadamia się, jeśli grozi im wysokie ryzyko

Kluczowe lekcje

1. Zgłoszenie idzie najpierw: Nie czekaj na potwierdzenie dostępu do danych. Organizacja ocenia zdarzenie na podstawie faktów znanych zaraz po wysyłce.

2. Fakty, nie oceny: Mówisz, co się stało (adresat, godzina, rodzaj danych). Nie oceniasz, czy to „ważne" czy „może się nic nie stanie".

3. Procedura jest dla Twojej ochrony: Dzięki jasnym krokom organizacja szybko reaguje, a Ty masz pewność, że zrobiłeś, co należało.