Ile może wynieść kara dla firmy za wyciek danych?

Firmy bez odpowiednich zabezpieczeń mają grozić kary wielomilionowe. Według zasad RODO maksymalna kara sięga 2% lub 4% całkowitego rocznego światowego obrotu, zależnie od rodzaju naruszenia.

Kto będzie nadzorował przestrzeganie nowej ustawy?

Nadzór nad ustawą ma sprawować prezes Urzędu Komunikacji Elektronicznej. Kontrole w firmach, w których doszło do wycieków, już trwają.

Czy nowe przepisy dotyczą użytkowników urządzeń IoT?

Tak, użytkownicy urządzeń połączonych z internetem mają zyskać dostęp do danych, które te urządzenia generują.

Cyber Piątka: nowe kary za wycieki danych i obowiązki firm

Q: Czym jest pakiet „Cyber Piątka”?

To zestaw pięciu zmian dla firm przetwarzających dane, zapowiedziany przez rząd razem z nowymi karami za wycieki. Obejmuje m.in. certyfikację podmiotów z danymi medycznymi i wyższe wymagania technologiczne.

Rząd szykuje pakiet „Cyber Piątka” z karami dla firm za wycieki danych. Sprawdź, kogo obejmą nowe przepisy i co zmieni się dla pacjentów.

Rząd przyjął projekt ustawy, która ma wzmocnić ochronę danych w Polsce, a jej uzupełnieniem jest pakiet zmian nazwany „Cyber Piątka”. Jego celem jest przede wszystkim zmuszenie firm do realnych inwestycji w zabezpieczenia, pod groźbą dotkliwych sankcji finansowych.

Czym jest pakiet „Cyber Piątka” i kogo obejmie?

Pakiet składa się z pięciu zmian skierowanych do firm, które przetwarzają dane osobowe. Dla części z nich, zwłaszcza dla podmiotów obsługujących dane medyczne, oznacza to konieczność spełnienia formalnych wymogów i uzyskania certyfikatu. Nowe obowiązki dotyczą też podmiotów masowo przetwarzających informacje o obywatelach, a więc firm, których działalność opiera się na dużych zbiorach danych.

Istotnym elementem jest również przejrzystość wobec pacjentów. Placówki i firmy mają informować o zdarzeniach związanych z danymi medycznymi, dzięki czemu osoba, której informacje wyciekły, dowie się o tym szybciej i będzie mogła podjąć odpowiednie kroki.

Jak ustawa wpisuje się w unijne przepisy?

Projekt wdraża unijny akt Data Act, który reguluje dostęp do danych generowanych przez urządzenia i usługi. Oznacza to, że polskie przepisy nie funkcjonują w oderwaniu od prawa Unii Europejskiej, lecz dopasowują je do realiów krajowych.

Jakie kary grożą firmom za wycieki danych?

Najostrzejszym narzędziem ma być kara wielomilionowa dla przedsiębiorstw, które nie zadbały o odpowiednie zabezpieczenia. Warto jednak zestawić ją z zasadami obowiązującymi już od lat na podstawie RODO, aby zobaczyć skalę zmian.

Zasada	Osoby i instytucje naruszające przepisy	Podstawa
Kary według RODO	do 10 mln euro lub 20 mln euro	RODO
Kary dla firm	do 2% lub 4% całkowitego rocznego światowego obrotu	RODO
Kary z pakietu „Cyber Piątka”	wielomilionowe dla firm bez zabezpieczeń	nowa ustawa

Dla przedsiębiorcy najważniejsze jest to, że kara nie zależy wyłącznie od samego wycieku, lecz także od tego, czy firma wykazała się wymaganą starannością. Brak inwestycji w cyberbezpieczeństwo może więc kosztować więcej niż sam incydent.

Rząd zapowiada również publiczne ujawnianie przedsiębiorstw, które nie inwestują w ochronę danych. Minister cyfryzacji Krzysztof Gawkowski mówi wprost, jak pisze StockWatch.pl: „Zmieniamy doktrynę. Będziemy ujawniać te, które nie inwestują w cyberbezpieczeństwo”. Dla firm to sygnał, że reputacja stanie się równie ważna jak budżet na zabezpieczenia.

Dlaczego incydent MyDr przyspieszył zmiany?

Kluczowym impulsem była awaria bezpieczeństwa w systemie MyDr. W sierpniu doszło do nieuprawnionego dostępu do bazy danych systemu używanego przez przychodnie, a skala zdarzenia była ogromna: dotknęła niemal 19 mln Polaków. Tak duża liczba poszkodowanych pokazuje, że problem dotyczy nie pojedynczych placówek, lecz całego systemu opieki zdrowotnej.

Właśnie dlatego nowe przepisy kładą nacisk na dane medyczne. Certyfikacja, minimalne standardy techniczne i obowiązek powiadamiania mają zapobiegać sytuacjom, w których dane pacjentów przez długi czas pozostają poza kontrolą.

Ile Polska wydaje na cyberbezpieczeństwo i jakie zagrożenia są najczęstsze?

Rząd w ostatnich dwóch latach przeznaczył 2,8 mld zł na cyberbezpieczeństwo i transformację firm. Pieniądze te mają wspierać przedsiębiorców w modernizacji systemów, ale nie zwalniają ich z odpowiedzialności za własne zabezpieczenia.

Dane Eurobarometru pokazują, z jakimi atakami najczęściej mierzą się firmy:

Rodzaj zagrożenia	Odsetek firm
Phishing lub fałszywe wiadomości	41%
Ataki złośliwego oprogramowania	22%
Próby kradzieży haseł	20%
Próby kradzieży danych osobowych	20%

Phishing wyraźnie dominuje. To oznacza, że nawet najlepsze procedury techniczne mogą nie wystarczyć, jeśli pracownik da się nabrać na podrobioną wiadomość. Szkolenia i jasne zasady weryfikacji poleceń są równie ważne jak zakup oprogramowania.

Co to oznacza dla Ciebie?

Jako pacjent lub użytkownik usług cyfrowych warto obserwować, czy placówka, z której korzystasz, informuje o zdarzeniach i potrafi wykazać, jak chroni Twoje dane. Po wejściu w życie przepisów zyskasz też prawo dostępu do informacji generowanych przez urządzenia IoT, które posiadasz, takie jak inteligentne czujniki czy sprzęt domowy.

Jeśli prowadzisz firmę, sprawdź, czy spełniasz wymogi dotyczące przetwarzania danych i czy Twój zarząd lub rada nadzorcza mają przypisaną odpowiedzialność za budżet cyberbezpieczeństwa. Kontrole w firmach z wyciekami już trwają, więc przygotowanie dokumentacji i procedur reagowania na incydenty nie powinno czekać.

Najważniejsza zmiana polega na tym, że ochrona danych przestaje być sprawą wyłącznie działu IT. Staje się zadaniem zarządów, a jej brak może oznaczać realne konsekwencje finansowe i wizerunkowe.