Obcy link „kasyno online” a RODO: kiedy incydent na stronie sklepu oznacza naruszenie danych?

Nieoczekiwany odnośnik do kasyna na stronie sklepu internetowego może wskazywać na problem z bezpieczeństwem serwisu. Nie przesądza jednak sam w sobie, że doszło do naruszenia ochrony danych osobowych w rozumieniu RODO. Dla administratora kluczowe jest ustalenie, co się stało, do jakich zasobów uzyskano dostęp i czy incydent dotknął danych osób fizycznych.

Obcy link to sygnał, nie diagnoza

Link mógł zostać dodany przez osobę, która wykorzystała lukę w systemie zarządzania treścią, przejęte konto redaktora albo nieaktualny komponent strony. Możliwe są też mniej groźne przyczyny, na przykład błąd w szablonie lub nieautoryzowana zmiana pojedynczej podstrony. Sam widoczny element nie pozwala rozstrzygnąć, która z tych sytuacji miała miejsce.

W widoku sklepu może pojawić się odnośnik kasyno online, ale jego obecność nie dowodzi jeszcze, że ktoś odczytał bazę klientów. Z drugiej strony, ograniczenie incydentu do widocznej zmiany nie powinno być przyjmowane bez sprawdzenia. Napastnik mógł uzyskać szerszy dostęp, niż sugeruje treść strony.

Kiedy incydent staje się naruszeniem danych?

RODO definiuje naruszenie ochrony danych osobowych jako naruszenie bezpieczeństwa prowadzące do przypadkowego lub bezprawnego zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia danych osobowych albo uzyskania do nich nieuprawnionego dostępu. W praktyce oznacza to, że trzeba ustalić zarówno charakter ataku, jak i jego skutki dla informacji dotyczących zidentyfikowanych lub możliwych do zidentyfikowania osób.

Jeżeli ktoś zmienił wyłącznie publiczny tekst na stronie, bez dostępu do danych klientów i bez ich ujawnienia, incydent może dotyczyć bezpieczeństwa serwisu, ale niekoniecznie stanowić naruszenie danych osobowych. Ocena będzie inna, gdy sprawca miał dostęp do kont klientów, adresów, historii zamówień, danych kontaktowych lub haseł. Nieuprawnione skopiowanie takich informacji może być naruszeniem nawet wtedy, gdy nie opublikowano ich w sieci.

Jak ustalić zakres zdarzenia?

Sklep powinien zabezpieczyć dowody i możliwie szybko ustalić czas rozpoczęcia oraz wykrycia incydentu, zmienione pliki, wykorzystane konta i zakres uprawnień sprawcy. Pomocne są logi serwera, systemu sklepowego i dostawcy hostingu, a także kopie zapasowe oraz informacje o aktualizacjach. Warto sprawdzić, czy nie utworzono nowych kont administracyjnych, nie zmieniono ustawień płatności i czy nie wykonywano nietypowych zapytań do bazy.

Jeśli sklep korzysta z usług zewnętrznego operatora, trzeba ustalić podział obowiązków i kanał zgłaszania incydentów. Podmiot przetwarzający powinien powiadomić administratora bez zbędnej zwłoki, a administrator odpowiada za ocenę obowiązków wynikających z RODO. Przydatna jest dokumentacja działań: pozwala uzasadnić decyzję, także gdy po analizie uznano, że dane osobowe nie zostały naruszone.

Zgłoszenie do UODO i informowanie klientów

Administrator zgłasza naruszenie Prezesowi Urzędu Ochrony Danych Osobowych bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla praw lub wolności osób. Jeżeli zgłoszenie następuje później, należy wyjaśnić przyczynę opóźnienia. Każde naruszenie trzeba udokumentować, również takie, którego nie zgłoszono organowi.

Gdy naruszenie może powodować wysokie ryzyko dla osób, administrator powinien również przekazać im jasną informację o zdarzeniu, jego możliwych skutkach i zalecanych działaniach. Ostateczna ocena zależy od faktów, a nie od samego rodzaju widocznego linku. Dlatego szybkie zabezpieczenie strony, rzetelna analiza dostępu i udokumentowana decyzja są ważniejsze niż pochopne uznanie każdego obcego odnośnika za wyciek danych.