Kdy musím hlásit porušení ochrany údajů úřadu pro ochranu osobních údajů?

Hlášení je hlavní pravidlo, pokud není riziko nepravděpodobné

Únik dat hlásíte dozorčímu orgánu, jakmile je pravděpodobné, že únik představuje riziko pro práva a svobody osob, jejichž údaje jsou zasaženy. To je podstata článku 33 GDPR: hlášení je výchozím bodem a pouze když je rozumně věřit, že bez rizika, hlášení se nekoná. V praxi to znamená, že většina úniků osobních údajů — chybně odeslané e-mailem s údaji zákazníků, ukradený notebook, napadená databáze — podléhá oznamovací povinnosti, zatímco únik, který zjevně nemůže nikoho postihnout (například proto, že údaje byly šifrovány a klíč nebyl kompromitován), může být mimo tuto povinnost.

Pro toto posouzení se podíváte na to, co se přesně stalo, jaké údaje se jedná a kdo může být zasažen. Zvláštní kategorie údajů, finanční údaje nebo údaje o dětech mají větší váhu než samotná e-mailová adresa. 72hodinová lhůta z článku 33 GDPR začíná běžet od okamžiku, kdy si uvědomíte únik, nikoli od okamžiku, kdy k němu došlo — tyto dva momenty jsou někdy vzdáleny týdny. Rozhodovací strom, který toto posouzení krok za krokem projde, nikdy nenahradí vlastní posouzení konkrétního úniku, ale pomáhá při strukturovaném řešení otázky "hlášení povinné nebo ne".

Odkud to vyplývá z článku 33 GDPR a směrnic EDPB

Samotná oznamovací povinnost je v článku 33 GDPR; konkrétní vymezení pojmů jako "riziko" a "bez zbytečného odkladu" vychází ze směrnic EDPB o hlášení úniků dat a Úřadu na ochranu osobních údajů, který to vysvětluje pro praxi v České republice. GDPR se použije přímo v každém členském státě, ale u koho hlásíte, se liší: v České republice se hlásí Úřadu na ochranu osobních údajů, jedinému dozorčímu orgánu pro celý stát. V Německu se hlásí dozorčímu orgánu zemského státu, kde se organizace nachází, protože tam existuje šestnáct zemských dozorčích orgánů vedle federálního dozorčího orgánu.