Dane trafiły do BIP bez anonimizacji. Co urząd powinien zrobić?

Dane osobowe trafiły do BIP? Zobacz, jak zatrzymać dalsze ujawnianie, ocenić ryzyko, udokumentować incydent i ograniczyć jego skutki.

Publikacja dokumentu z danymi mieszkańca nie musi oznaczać wielodniowego kryzysu. Wymaga jednak szybkiej i uporządkowanej reakcji. Samo usunięcie pliku z widocznej strony BIP jest ważnym początkiem, ale nie zamyka sprawy. Trzeba ustalić, co dokładnie ujawniono, jak długo materiał był dostępny, kto mógł do niego dotrzeć i czy zdarzenie należy zgłosić Prezesowi UODO.

Poniższy schemat pomaga uporządkować pierwsze działania. Nie zastępuje oceny konkretnego przypadku przez administratora danych i inspektora ochrony danych.

Najpierw zatrzymaj dalsze ujawnianie

Osoba, która zauważyła błąd, powinna mieć prostą drogę zgłoszenia go redaktorowi BIP, przełożonemu oraz osobie odpowiedzialnej za ochronę danych. Nie warto czekać na pełne wyjaśnienie, zanim ograniczy się dostęp do dokumentu.

W pierwszej kolejności należy:

wycofać wadliwy plik z publikacji lub czasowo ograniczyć do niego dostęp;
sprawdzić, czy kopia nie znajduje się na innych podstronach, w załącznikach lub w innym serwisie urzędu;
zabezpieczyć oryginał i informacje o publikacji do wewnętrznego postępowania;
przygotować prawidłowo zanonimizowaną kopię, jeżeli dokument nadal powinien być publiczny;
nie nadpisywać śladów potrzebnych do ustalenia przebiegu zdarzenia.

Jeżeli BIP korzysta z pamięci podręcznej, sieci CDN albo zewnętrznego systemu publikacyjnego, samo usunięcie wpisu w panelu może nie wystarczyć. Trzeba sprawdzić bezpośredni adres pliku, kopie techniczne dostępne publicznie oraz wyniki wyszukiwania. W razie potrzeby należy zlecić usunięcie kopii z cache i skorzystać z procedur wyszukiwarki dotyczących nieaktualnych treści.

Ustal, jakie dane były widoczne

Ocena nie może kończyć się na stwierdzeniu, że w pliku znajdowało się imię i nazwisko. Znaczenie ma cały zestaw informacji oraz kontekst.

Warto odnotować:

kategorie danych, np. adres, PESEL, podpis, dane kontaktowe, informacje o zdrowiu lub sytuacji rodzinnej;
liczbę osób, których dotyczył dokument;
okres dostępności pliku;
to, czy strona była indeksowana przez wyszukiwarki;
liczbę odnotowanych pobrań lub odsłon, jeżeli wiarygodne logi są dostępne;
możliwość skopiowania danych z warstwy tekstowej, komentarzy albo metadanych;
grupę odbiorców i możliwe skutki dla osób;
działania podjęte po wykryciu zdarzenia.

Brak odnotowanych pobrań nie dowodzi, że nikt nie uzyskał dostępu. Z drugiej strony sama publiczna dostępność pliku nie przesądza automatycznie o najwyższym poziomie ryzyka. Potrzebna jest udokumentowana ocena konkretnego przypadku.

Włącz IOD i zespół odpowiedzialny za BIP

RODO wymaga, aby administrator dokumentował naruszenia ochrony danych, w tym okoliczności, skutki i podjęte działania. Dlatego informacja powinna szybko trafić do IOD oraz osób, które potrafią ustalić techniczny zasięg publikacji.

Dobrze działa mały zespół obejmujący redaktora BIP, właściciela merytorycznego dokumentu, IOD i administratora systemu. Każda z tych osób odpowiada na inne pytanie: co miało być jawne, jakie dane ujawniono, gdzie plik był dostępny i jak ograniczyć dalsze rozpowszechnianie.

Czy trzeba zgłosić naruszenie Prezesowi UODO?

Zgodnie z art. 33 RODO naruszenie zgłasza się organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

To nie oznacza, że każde omyłkowo opublikowane nazwisko wymaga zgłoszenia. Oznacza natomiast, że każdy przypadek trzeba ocenić i udokumentować. Jeżeli pełnych informacji nie da się zebrać w ciągu 72 godzin, RODO pozwala przekazywać je sukcesywnie, podając przyczyny opóźnienia.

Gdy ryzyko dla osób jest wysokie, może powstać także obowiązek zawiadomienia tych osób zgodnie z art. 34 RODO. Decyzję należy oprzeć na możliwych konsekwencjach, a nie wyłącznie na rozmiarze dokumentu.

Opublikuj poprawioną kopię, nie prowizoryczną łatę

Przed ponownym udostępnieniem pliku trzeba sprawdzić całość: treść główną, wszystkie strony, podpisy, pieczęcie, załączniki, warstwę OCR oraz właściwości dokumentu. Zakrycie danych czarnym prostokątem może pozostawić tekst możliwy do skopiowania. Więcej na ten temat wyjaśniamy w artykule Czarny prostokąt w PDF to nie zawsze anonimizacja.

Poprawioną kopię warto zapisać jako nowy plik i poddać niezależnej kontroli drugiej osoby. Po publikacji należy ponownie pobrać dokument z BIP i sprawdzić dokładnie tę wersję, którą widzi mieszkaniec.

Po incydencie popraw proces

Najbardziej użytecznym wynikiem analizy nie jest wskazanie jednej osoby, która popełniła błąd, lecz usunięcie jego przyczyny. W praktyce przydają się:

oddzielny katalog na kopie przeznaczone do publikacji;
lista kategorii danych charakterystycznych dla dokumentów urzędu;
kontrola dwóch osób przy materiałach wysokiego ryzyka;
rejestr osoby przygotowującej i zatwierdzającej kopię;
okresowy przegląd dokumentów już dostępnych w BIP;
szybka ścieżka zgłoszenia pomyłki.

Sprawa petycji z danymi 749 osób pokazuje, jak szeroki zasięg może mieć jeden błędny załącznik. Opisaliśmy ją w tekście Petycja w BIP i dane 749 osób. Czego uczy sprawa Myślenic?.

Redakt pomaga wykrywać potencjalne dane osobowe w dokumentach PDF, przygotować kopię do publikacji i przeprowadzić końcową kontrolę. Wypróbuj Redakt na własnym dokumencie.

Źródła

Przetestuj anonimizację w systemie Redakt

Redakt to aplikacja internetowa MWC do anonimizacji PDF i skanów. AI wskazuje dane do sprawdzenia, a po Twoim zatwierdzeniu system trwale usuwa wybrane treści z dokumentu.

Wypróbuj Redakt bezpłatnie Poznaj funkcje systemu

Powiązane publikacje

Wróć do publikacji

Producent: MWC Sp. z o.o., ul. Kowalewicka 12, 60-002 Poznań, NIP 7831678932. Kontakt: info@mwc.pl.