Source: http://www.pomagam.net/pomoc/naruszenie-danych-osobowych/
Timestamp: 2018-06-23 19:35:21
Legal References Found: art. 31
 art. 27
 art. 15
 art. 174
 Art. 6
 Art. 6
 Art. 6
 Art. 25
 Art. 32
 Art. 190
 art. 46
 Art. 46
 art. 2

Document Content:
Naruszenie danych osobowych - Pomagam.Net
Strona Główna » Pomoc » Naruszenie danych osobowych
Naruszenie danych osobowych klientów Netii
Poradnik przygotowany przez Netię
Poradnik stanowi podstawowe sugestie związane minimalizacją skutków naruszenia (*1) danych osobowych, jakie miało miejsce wskutek ataku hakerskiego na serwis netia.pl w dniu 7 lipca 2016 r.
Prosimy nie traktować tego dokumentu jako porady prawnej, lecz jako zbiór sugerowanych działań służących minimalizacji skutków zaistniałego naruszenia.
Niezależnie od przekazanych sugestii polecamy Państwu zapoznanie się z poradami dotyczącymi bezpieczeństwa publikowanymi przez Komisję Nadzoru Finansowego (www.knf.gov.pl) oraz Związek Banków Polskich (www.zbp.pl, w szczególności https://zbp.pl/dla-konsumentow/bezpieczny- bank/bankowosc-internetowa). Pomocne będą również informacje zamieszczone w serwisie edukacyjnym Generalnego Inspektora Ochrony Danych Osobowych (https://edugiodo.giodo.gov.pl/) oraz publikacje dostępne w specjalistycznych serwisach zajmujących się e-bezpieczeństwem. W ostatnim wypadku polecamy Państwa rozwadze weryfikację rzetelności publikowanych wiadomości.
Za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (*2). Osoba możliwa do zidentyfikowania to osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (*3). Koniecznie trzeba zaznaczyć, że informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań (*4).
Przy szerszym wyjaśnieniu czym są dane osobowe warto przywołać informację przygotowaną przez Generalnego Inspektora Ochrony Danych osobowych:
Numer ten, zgodnie z art. 31a ust. 1 ustawy z dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych (tekst jedn. Dz.U. z 2006 r. nr 139, poz. 993, z późn. zm.), jest 11- cyfrowym, stałym symbolem numerycznym, jednoznacznie identyfikującym osobę fizyczną, w którym sześć pierwszych cyfr oznacza datę urodzenia (rok, miesiąc, dzień), kolejne cztery – liczbę porządkową i płeć osoby, a ostatnia jest cyfrą kontrolną, służącą do komputerowej kontroli poprawności nadanego numeru ewidencyjnego. Numer ten, występując nawet bez zestawienia z innymi informacjami o osobie, stanowi dane osobowe, a ich przetwarzanie podlega wszelkim rygorom przewidzianym w ustawie o ochronie danych osobowych.
Dane szczególnie chronione wyliczone są w art. 27 ust. 1 ustawy. Są to informacje o pochodzeniu rasowym lub etnicznym, poglądach politycznych, religijnych, filozoficznych, wyznaniu, przynależności do partii lub związku, stanie zdrowia, kodzie genetycznym, nałogach, życiu seksualnym, skazaniach, orzeczeniach o ukaraniu, mandatach i innych orzeczeniach wydanych w postępowaniu przed sądem lub urzędem. Na administratorów tych danych ustawa nakłada bardziej rygorystyczne obowiązki niż na administratorów danych „zwykłych”.
Przykładem pojedynczej informacji stanowiącej daną osobową jest natomiast numer PESEL, który zgodnie z art. 15 ust. 2 ustawy z dnia 24 września 2010 r. o ewidencji ludności (Dz.U. z 2015 r. poz. 388) jest 11-cyfrowym symbolem numerycznym, jednoznacznie identyfikującym osobę fizyczną, w którym sześć pierwszych cyfr oznacza datę urodzenia (rok, miesiąc, dzień), kolejne cztery – liczbę porządkową i płeć osoby, a ostatnia jest cyfrą kontrolną służącą do elektronicznej kontroli poprawności nadanego numeru ewidencyjnego. Można więc stwierdzić, że numer PESEL ex definitione stanowi daną osobową, a jej przetwarzanie podlega wszelkim rygorom przewidzianym w ustawie o ochronie danych osobowych (*5).
GIODO wyjaśnia również, że w większości wypadków dla oceny czy informacja stanowi dane osobowe nieuniknione jest dokonanie zindywidualizowanej oceny, przy uwzględnieniu konkretnych okoliczności oraz rodzaju środków czy metod potrzebnych w określonej sytuacji do identyfikacji osoby (*6).
DO CZEGO MOGĄ BYĆ WYKORZYSTANE NARUSZONE DANE OSOBOWE?
Naruszenie danych osobowych nastąpiło wskutek działań bezprawnych, dlatego niestety można się spodziewać również prób bezprawnego wykorzystania naruszonych danych. Dlatego też zalecamy Państwu przede wszystkim ostrożność i rozwagę. Poniżej przedstawiane są dwa najczęściej spotykane sposoby bezprawnego wykorzystania danych osobowych:
Dane osobowe zebrane w bazie mogą być przedmiotem bezprawnego handlu, np. zostać sprzedane firmom zajmującym się marketingiem bezpośrednim. Prosimy pamiętać,że w przypadku gdy dane nie zostały zebrane od Państwa podmiot nimi administrujący powinien poinformować Państwa m.in. o źródle danych (*7). Mogą Państwo żądać czasowego lub stałego wstrzymania przetwarzania danych osobowych lub ich usunięcia, m.in. jeżeli zostały zebrane z naruszeniem UODO (*8).
W skrajnych przypadkach bezprawnie pozyskane dane osobowe mogą być wykorzystane przez przestępców do podszycia się pod inną osobę. Działania takie stanowią przestępstwo (*9) i należy je natychmiast zgłosić Policji.
Zgodnie z ustaleniami Netia S.A. nie doszło do kradzieży haseł serwisów zarządzanych przez Netia S.A.
Przypominamy jednak dobrą praktykę, by (i) korzystać w różnych serwisach z różnych haseł oraz (ii) czasowo zmieniać te hasła. W zaistniałych okolicznościach daleko posuniętą ostrożnością, którą zalecamy, jest przeprowadzenie wcześniejszej zmiany haseł we wszystkich serwisach, w szczególności służących usługom finansowym (płatności internetowe, serwisy aukcyjne, bankowość elektroniczna).
AKTUALIZACJA PROGRAMÓW ANTYWIRUSOWYCH I FIREWALLI
Jest to kolejna dobra praktyka, na którą ponownie zwracamy uwagę. Zalecamy sprawdzenia aktualności i pewności posiadanych programów antywirusowych oraz firewalli.
OSTROŻNOŚĆ WOBEC WIADOMOŚCI SMS/E-MAIL
Bezprawnie pozyskane numery telefonów lub adresy e-mail mogą być przedmiotem wzmożonego spamu (wiadomości niepożądanych) oraz scamu (wiadomości służące wyłudzeniu informacji poufnych).
Zalecamy zwiększoną ostrożność wobec otrzymywanych wiadomości SMS z nieznanych źródeł zawierających odnośniki do serwisów internetowych. Prosimy również o uwagę wobec e-maili od oszustów np. podszywających się pod serwisy finansowe oraz wiadomości naśladujące informacje od dużych dostawców usług (energia, telekomunikacja itp.) lub obiecujących wielkie wynagrodzenie za pomoc w czyjejś sprawie osobistej wraz z prośbą o przekazanie danych osobowych (tzw. oszustwo nigeryjskie).
Uprzejmie przypominamy informację Związku Banków Polskich, że żaden bank nigdy nie wysyła do swoich klientów pytań dotyczących haseł lub innych poufnych danych ani próśb o ich aktualizację. Podobnie jest to niespotykane u innych usługodawców (w tym operatorów telekomunikacyjnych).
Uprzejmie zwracamy Państwa uwagę, że naruszenie danych osobowych przez ujawnienie numeru telefonu w przypadku większości operatorów telekomunikacyjnych nie jest podstawą do wypowiedzenia umowy o świadczenie usług telekomunikacyjnych zawartych na czas oznaczony.
Ujawnienie numeru dowodu osobistego lub numeru PESEL wskutek bezprawnego naruszenia danych osobowych nie jest podstawą dla wymiany dowodu osobistego (*10) Podstawą taką jest m.in. fizyczna utrata kontroli nad dowodem osobistym (*11).
ALERTY KREDYTOWE
Zgodnie z procedurami stosowanymi w instytucjach finansowych, osoby podpisujące w ich imieniu umowy z klientami są zobowiązane do weryfikacji tożsamości z pomocą okazanego dokumentu tożsamości. Nie wyklucza to niestety bezprawnych działań naruszających te procedury.
Nie jest to działanie niezbędne, ale jeśli obawiają się Państwo takiej sytuacji prosimy o rozważenie w swoim przypadku zamówienie usług oferowanych przez instytucje weryfikujące zdolność kredytową. Polegają one na powiadomieniu Państwa, gdy ktoś będzie pytać o Państwa zdolność kredytową (co ma miejsce np. przed zawarciem umowy kredytu konsumenckiego).
Usługę taką oferują np.:
Biuro Informacji Kredytowej S.A., https://www.bik.pl/alerty-bik
Biuro Informacji Gospodarczej InfoMonitor S.A., https://www.big.pl/konsument/raport-o-sobie
Krajowy Rejestr Długów Biuro Informacji Gospodarczej S.A. http://krd.pl/Sprawdzanie- firm/Dla-konsumentow/Korzysci.aspx
Rejestr Dłużników ERIF Biuro Informacji Gospodarczej S.A. https://erif.pl/oferty/klienci- indywidualni/uslugi/
W celu ustalenia konieczności i możliwości zmian numeru rachunku bankowego, sugerujemy kontakt z Państwa bankiem.
*1 Takim pojęciem posługuje się Prawo telekomunikacyjne, por. art. 174a ust. 2 ustawy z dnia 16.07.2004 r. Prawo telekomunikacyjne (tekst jedn.: Dz. U. z 2014 r., poz. 243 ze zm.).
*2 Art. 6 ust. 1 ustawy z dnia 29.08.1997 r. o ochronie danych osobowych (tekst jedn.: Dz. U. z 2016 r., poz. 922 ze zm.) dalej: „UODO”.
*3 Art. 6 ust. 2 UODO.
*4 Art. 6 ust. 3 UODO.
*5 http://www.giodo.gov.pl/319/id_art/973/j/pl/
*6 http://www.giodo.gov.pl/319/id_art/973/j/pl/
*7 Art. 25 ust. 1 pkt 3 UODO.
*8 Art. 32 ust. 1 pkt 6 UDODO.
*9 Art. 190a §2 ustawy z dnia 6.06.1997 r. Kodeks karny (Dz. U. z 1997 r. Nr 88, poz. 553 ze zm.).
*10 Por. art. 46 ustawy z dnia 06.08.2010 r. o dowodach osobistych (tekst jedn.: Dz. U. z 2016 r., poz. 391 ze zm.).
*11 Art. 46 ust. 1 pkt 4 w zw. z art. 2 ust. 1 pkt 4) ustawy o dowodach osobistych.