Wyciek danych to nie koniec. Te kroki mogą uchronić Cię przed oszustwem

O zdarzeniu zostały poinformowane odpowiednie służby, które prowadzą działania mające na celu ustalenie jego okoliczności. UODO przypomina jednocześnie, że jeśli administrator korzystał z usług MyDr, to właśnie na nim spoczywa obowiązek poinformowania osób, których dane mogły zostać objęte naruszeniem, jeżeli występuje takie ryzyko.

Co zrobić, jeśli Twoje dane wyciekły?

Samo stwierdzenie wycieku nie oznacza jeszcze, że dane zostaną wykorzystane przeciwko konkretnej osobie. Warto jednak potraktować taką sytuację poważnie i podjąć działania ograniczające potencjalne konsekwencje.

Jednym z podstawowych kroków może być zastrzeżenie numeru PESEL. Warto również zachować szczególną ostrożność podczas rozmów telefonicznych oraz korespondencji SMS i e-mail.

Po wycieku danych oszuści mogą próbować wykorzystać pozyskane informacje do przeprowadzenia kolejnych etapów ataku. Wiadomość może wyglądać wiarygodnie, ponieważ przestępca może znać już część naszych danych. Dlatego należy uważać szczególnie na wiadomości nakłaniające do kliknięcia w link, podania dodatkowych informacji, instalacji aplikacji lub zalogowania się do bankowości internetowej.

Nie ufaj wiadomościom tylko dlatego, że zawierają Twoje dane

Znajomość imienia, nazwiska, numeru telefonu czy innych informacji na temat ofiary może sprawić, że fałszywy SMS lub telefon będzie wyglądał znacznie bardziej wiarygodnie.

Dlatego każdą nietypową wiadomość należy dokładnie przeanalizować. Jeżeli ktoś kontaktuje się telefonicznie i prosi o podanie danych, lepiej przerwać rozmowę i samodzielnie skontaktować się z daną instytucją, korzystając z oficjalnego numeru.

Nie należy również klikać w podejrzane linki ani przekazywać kodów autoryzacyjnych, haseł czy danych logowania.

Kiedy można zwrócić się do UODO?

Jeżeli ktoś podejrzewa, że firma lub instytucja przetwarza jego dane bez odpowiedniej podstawy prawnej, nie informuje o sposobie ich wykorzystywania albo nie respektuje praw osoby, której dane dotyczą, w pierwszej kolejności powinien zwrócić się bezpośrednio do administratora danych.

Można zażądać między innymi informacji o sposobie przetwarzania danych, ich sprostowania, usunięcia lub wycofania zgody, jeżeli to właśnie zgoda była podstawą przetwarzania.

Jeżeli administrator nie odpowie, jego odpowiedź będzie niewystarczająca albo nie zrealizuje przysługujących praw, można skierować skargę do Prezesa Urzędu Ochrony Danych Osobowych.

W skardze należy wskazać m.in. swoje dane, opisać sprawę, określić oczekiwane działania oraz dokładnie wskazać administratora, którego dotyczy sprawa.

UODO nie jest organem ścigania

Warto pamiętać, że kompetencje Prezesa UODO dotyczą przede wszystkim zgodności przetwarzania danych osobowych z przepisami. Urząd nie zastępuje Policji ani Prokuratury i nie ma takich samych uprawnień w zakresie ustalania sprawców przestępstw.

Samo podanie numeru telefonu, z którego ktoś dzwonił, czy wskazanie niezidentyfikowanego serwera, na którym pojawiły się dane, może nie wystarczyć do ustalenia administratora odpowiedzialnego za ich przetwarzanie.

Jeżeli doszło do przestępstwa, na przykład próby wyłudzenia pieniędzy czy kradzieży tożsamości, sprawę należy zgłosić również odpowiednim organom ścigania.

Czy firma może zostać ukarana?

Prezes UODO może nałożyć na administratora administracyjną karę pieniężną, ale nie dzieje się to automatycznie na wniosek osoby, której dane wyciekły.

Każdy przypadek jest analizowany indywidualnie. Pod uwagę brane są między innymi charakter i skala naruszenia, czas jego trwania, liczba poszkodowanych osób, kategorie danych, rozmiar potencjalnych szkód, a także sposób działania administratora po wykryciu incydentu.

Kara finansowa jest jednym z instrumentów, którymi dysponuje organ nadzorczy. W zależności od okoliczności możliwe są również inne działania, takie jak upomnienie czy nakaz dostosowania sposobu przetwarzania danych do obowiązujących przepisów.

Jak chronić swoje dane na co dzień?

Nie wszystkie zagrożenia wynikają z cyberataków. Duże znaczenie ma również to, jakie informacje sami przekazujemy innym podmiotom.

Warto ograniczać ilość danych publikowanych w internecie, szczególnie w mediach społecznościowych. Nie należy również bez potrzeby przekazywać kopii dokumentów tożsamości ani zostawiać dowodu osobistego czy paszportu jako zastawu.

Przed przekazaniem kopii dokumentu warto zapytać, na jakiej podstawie prawnej jest ona wymagana i do czego będzie wykorzystywana.

Ostrożność należy zachować także przy wypełnianiu formularzy i korzystaniu z kart lojalnościowych. Warto sprawdzić, jakie dane są rzeczywiście niezbędne do wykonania usługi i jak będą wykorzystywane. Nie trzeba automatycznie wyrażać wszystkich zgód marketingowych.

Dokumenty zawierające dane osobowe powinny być niszczone w sposób uniemożliwiający ich późniejsze odczytanie. Dotyczy to między innymi rachunków, faktur, korespondencji czy etykiet z paczek.

Przed sprzedażą lub wyrzuceniem starego telefonu, komputera, dysku czy pendrive'a należy również zadbać o trwałe usunięcie znajdujących się na nich danych.

Silne hasła i czujność przede wszystkim

Podstawą bezpieczeństwa pozostają również odpowiednio zabezpieczone konta. Warto stosować różne, silne hasła do najważniejszych usług i korzystać z dodatkowego uwierzytelniania, jeżeli jest dostępne.

Szczególną uwagę należy zwracać na pocztę elektroniczną, bankowość internetową oraz konta, które umożliwiają resetowanie haseł do innych usług.

W przypadku podejrzenia, że dane zostały wykorzystane przez oszustów, nie należy czekać na kolejne wiadomości. Im szybciej zostaną zabezpieczone najważniejsze konta i zgłoszone podejrzane działania, tym większa szansa na ograniczenie skutków incydentu.

Wyciek danych nie musi oznaczać kradzieży tożsamości, ale powinien być sygnałem do zwiększenia ostrożności. Szczególnie w kolejnych tygodniach warto zachować czujność wobec telefonów, SMS-ów i e-maili, nawet jeśli nadawca zna część naszych prawdziwych danych.