jaké jsou následky, pokud porušení bezpečnosti údajů nenahlásím Úřadu

Nehlášení může mít následky, které jdou dál než samotný únik dat

Kdo neoznámí únik dat podléhající ohlašovací povinnosti dozorovému orgánu, riskuje, že o tom dozorový orgán zjistí sám a podnikne kroky na základě článku 33 GDPR, který upravuje povinnost oznámení v rámci v něm uvedené lhůty. Úřad pro ochranu osobních údajů a ostatní evropské dozorové orgány mají pravomoc provádět šetření, pokládat otázky a v případě zjištěného porušení uložit sankci. To, že únik nebyl oznámen, se často právě vynoruje tím, že se dotyčná osoba sama stěžuje, data se objeví jinde, nebo únik oznámí zpracovatel či dodavatel a dozorový orgán se pak z této strany ptá dál — viz také co dělat, když dodavatel oznámí únik dat.

Kromě rizika vůči dozorovému orgánu zde hraje roli ještě něco jiného: neoznámení úniku je nezávislé na otázce, zda musí být informovány osoby, jejichž data se týkají. Tato povinnost vyplývá z článku 34 GDPR a může trvat i v případě, že oznámení dozorovému orgánu zůstane stranou — se všemi škodami na pověsti a ztrátou důvěry, které s tím mohou být spojeny, pokud se to později přece jen vyjasní. Ani únik, který není podléhající ohlašovací povinnosti, by neměl chybět v собственной evidenci; viz proč by měly být vedeny i neohlášené úniky dat.

Co o tom pravidla říkají

Povinnost oznámit je obsažena v článku 33 GDPR a tato povinnost platí přímo v každém členském státě EU. Kam se oznámení podává, se liší podle země: v Nizozemsku je to Úřad pro ochranu osobních údajů, v jiných členských státech národní dozorový orgán příslušné země — ESVO vede přehled těchto dozorových orgánů a zveřejňuje pokyny k výkladu ohlašovací povinnosti. Přesné vymezení toho, co se má či nemusí hlásit, je popsáno na stránce o posouzení, zda má být únik dat hlášen.