W opisanej sytuacji doszło do naruszenia ochrony danych osobowych (kradzież i publikacja danych w Internecie). Taki incydent może prowadzić do realnych szkód dla pracowników: kradzieży tożsamości, prób wyłudzeń, nękania czy wykorzystania danych w oszustwach. Z tego powodu prawo ochrony danych przewiduje obowiązki informacyjne, aby osoby poszkodowane mogły zareagować i ograniczyć skutki zdarzenia.
Dlaczego poprawna jest odpowiedź: "Powiadomić pracowników o naruszeniu ich danych osobowych"?
Gdy naruszenie może powodować wysokie ryzyko dla praw i wolności osób fizycznych, administrator ma obowiązek zawiadomić osoby, których dane dotyczą. Publikacja danych w Internecie jest typowym przykładem zdarzenia o podwyższonym ryzyku, bo dane stają się szeroko dostępne i trudne do skutecznego "wycofania". Powiadomienie powinno być zrozumiałe i na tyle szybkie, by umożliwić podjęcie środków ostrożności.
Dlaczego pozostałe odpowiedzi są nieprawidłowe?
- "Zignorować sytuację, ponieważ nie jest to twoja wina." – to błąd myślenia: obowiązki organizacji nie zależą od poczucia winy pracownika. Incydent trzeba obsłużyć proceduralnie (zgłoszenie wewnętrzne, analiza, działania naprawcze), a nie ignorować.
- "Usunąć dane z Internetu." – to może być działanie pomocnicze (ograniczanie skutków), ale nie zawsze jest możliwe i nie stanowi samo w sobie pełnej odpowiedzi na wymagania prawne. Nawet przy próbach usunięcia kopie mogą pozostać w innych miejscach.
- "Wszystkie powyższe." – odpada, bo ignorowanie incydentu nigdy nie jest prawidłowym działaniem. Ponadto nie wszystkie czynności są zawsze "wymagane przez prawo" w identycznym zakresie; obowiązki zależą od okoliczności i oceny ryzyka.
Wskazówka egzaminacyjna: w zadaniach o naruszeniu danych szukaj odpowiedzi, które odzwierciedlają obowiązek transparentności wobec osób poszkodowanych oraz formalną obsługę incydentu, a nie jedynie "gaszenie pożaru" technicznymi działaniami.
