Porozumienie UODO i Ministerstwa Cyfryzacji w sprawie zgłaszania naruszeń danych przez system S46

System S46, za którego funkcjonowanie od 2021 r. odpowiada minister cyfryzacji, stanowi centralny element krajowego systemu cyberbezpieczeństwa. Obowiązek jego wdrożenia wynika z ustawy o krajowym systemie cyberbezpieczeństwa z 2018 roku. System pełni rolę narzędzia integrującego działania podmiotów odpowiedzialnych za bezpieczeństwo teleinformatyczne.

S46 umożliwia obsługę incydentów, prowadzenie analiz ryzyka, a także szybkie informowanie o zagrożeniach. Dzięki temu wzmacnia procesy wymiany informacji między operatorami usług kluczowych, administracją publiczną i zespołami reagowania na incydenty.

Porozumienie podpisane przez prezesa UODO Mirosława Wróblewskiego oraz wicepremiera, ministra cyfryzacji Krzysztofa Gawkowskiego bazuje na przepisach ustawy o krajowym systemie cyberbezpieczeństwa. Minister cyfryzacji pełni funkcję organu właściwego ds. cyberbezpieczeństwa dla infrastruktury cywilnej, co w określonych sytuacjach wymaga współdziałania z prezesem UODO.

W ramach krajowych struktur cyberbezpieczeństwa współpracują również CSIRT MON, CSIRT NASK oraz CSIRT GOV prowadzony przez Agencję Bezpieczeństwa Wewnętrznego. Zespoły te, obok ministra cyfryzacji, konsultują z prezesem UODO kwestie dotyczące incydentów w cyberprzestrzeni, w tym naruszeń danych osobowych.

Zgodnie z zapisami porozumienia organy właściwe ds. cyberbezpieczeństwa oraz Prezes UODO będą wykorzystywać system S46 do realizacji ustawowych obowiązków. Minister cyfryzacji zapewni w systemie funkcjonalności umożliwiające:

• zgłaszanie do prezesa UODO naruszeń ochrony danych osobowych przez podmioty korzystające z S46 w ramach krajowego systemu cyberbezpieczeństwa,
• integrację systemu z innymi narzędziami wykorzystywanymi przez UODO,
• wysyłanie raportów bezpośrednio z poziomu systemu.

W efekcie proces raportowania naruszeń zostanie usprawniony, a organy nadzorcze uzyskają możliwość sprawniejszej analizy wpływu incydentów na ochronę danych osobowych.

Strony porozumienia określiły również zasady przetwarzania danych w systemie S46. Minister cyfryzacji oraz prezes UODO, jako współadministratorzy, są zobowiązani do samodzielnego wypełniania obowiązków wynikających z rozporządzenia RODO, w szczególności w zakresie legalności przetwarzania, bezpieczeństwa informacji i realizacji praw osób, których dane dotyczą.

Ustalenie wspólnych zasad przetwarzania ma zapewnić jednolite standardy ochrony danych w całym systemie, co jest kluczowe w kontekście rosnącej liczby incydentów cyberbezpieczeństwa dotyczących infrastruktury publicznej i podmiotów prywatnych.

Porozumienie zacznie obowiązywać z dniem wejścia w życie znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa. Nowe przepisy upoważnią prezesa UODO do pełnego korzystania z systemu S46 przy realizacji zadań związanych z nadzorem nad ochroną danych osobowych.

Rozwiązanie to ma wzmocnić współpracę między organami nadzoru i zwiększyć efektywność reagowania na incydenty dotyczące danych przetwarzanych w sektorze publicznym i prywatnym.