Identyfikacja naruszeń ochrony danych osobowych w sektorze ubezpieczeń

Jak zarządzać incydentem ochrony danych?

Z uwagi na dużą skalę przetwarzania, to właśnie w sektorze ubezpieczeń często dochodzi do incydentów w obszarze ochrony danych osobowych. Przyczyny bywają rozmaite: agent gubiący niezabezpieczony komputer lub telefon, pracownik, który omyłkowo wysyła wiadomość e-mail z załącznikiem zawierającym dane innego klienta, niesprawny system kopertowania i wysyłki polis – to tylko kilka z odnotowanych sytuacji.

Prawidłowa reakcja organizacji na potencjalny incydent zależy w dużym stopniu od postępowania osoby, która powzięła o nim informację oraz sprawnego działania inspektora ochrony danych, jako analityka potrafiącego ustalić jego przyczyny, zasięg, możliwe konsekwencje oraz ocenić, czy wymaga on zgłoszenia do Prezesa Urzędu Ochrony Danych Osobowych oraz poinformowania osób, których dane dotyczą. W tym celu konieczne jest opracowanie procedury, według której będzie dokonywana identyfikacja incydentów oraz określany proces postępowania z nimi. Pracownicy powinni być z taką procedurą dobrze zaznajomieni, aby wiedzieć jak zachować się w danej sytuacji. Jasno musi zostać również wskazany kanał zgłaszania potencjalnych naruszeń.

Polecamy: Kodeks pracy 2019 - komentarz

Dla zakładu ubezpieczeń ważnym aspektem są incydenty zaistniałe po stronie podmiotów, którym powierzono dane osobowe do przetwarzania (np. agenci). Pomimo faktu, iż do incydentu doszło w podmiocie zewnętrznym, któremu zakład ubezpieczeń powierzył przetwarzanie danych, to on (zakład ubezpieczeń) będzie musiał zgłosić ewentualny incydent. Istotne jest, aby w umowie powierzenia wyznaczyć procesorowi czas na poinformowanie zakładu ubezpieczeń o incydencie oraz wskazać kanał komunikacji. Zakład ubezpieczeń określając czas reakcji ze strony procesora musi przy tym pamiętać, iż on sam ma 72 godziny na przesłanie do Prezesa UODO stosownego zawiadomienia.

Kiedy i jak zgłaszać incydent ochrony danych osobowych?

Administrator, po stwierdzeniu naruszenia, ma 72 godziny na jego zgłoszenie. Zgodnie z informacją znajdującą się na stronie Prezesa UODO, dokonuje on zgłoszenia naruszenia drogą elektroniczną. W tym celu ma do dyspozycji platformę biznes.gov.pl bądź elektroniczną skrzynkę podawczą ePUAP. Podkreślenia wymaga fakt, iż jest to forma preferowana przez Urząd, natomiast nieusankcjonowana przepisami prawa. Oznacza to, że jeżeli chcielibyśmy złożyć zawiadomienie o wystąpieniu naruszenia pisemnie, Prezes UODO nie powinien odmówić przyjęcia takiego zgłoszenia. Zadaniem inspektora ochrony danych jest ocena, czy mamy do czynienia z incydentem wymagającym zgłoszenia Prezesowi UODO. Inspektor musi więc oszacować prawdopodobieństwo, czy naruszenie może skutkować ryzykiem naruszenia praw lub wolności osób fizycznych. W ocenie tej inspektorowi może pomóc m.in. Wytyczna Grupy Roboczej dotycząca zgłaszania naruszeń ochrony danych osobowych (WP250rev.01).