můj obchodní e-mail byl napaden – musím na to upozornit

Napadnutá poštovní schránka je obvykle porušením ochrany dat; oznamování závisí na důsledcích

Napadnutá firemní poštovní schránka je ve většině případů porušením ve smyslu GDPR: jde o neoprávněný přístup k osobním údajům, a k tomuto přístupu dochází prakticky vždy, když se někdo zvenčí přihlásí do účtu obsahujícího údaje o zákaznících nebo kontakty. Tím je zřejmé, že došlo k něčemu, co spadá pod definici co přesně je porušením ochrany dat? Není to však automaticky totožné s povinností oznamovat dohledovacímu orgánu.

Zda je oznamování dohledovacímu orgánu na místě, závisí na riziku, které porušení přináší pro osoby, jejichž údaje se v té poštovní schránce nacházely — vezměte si například faktury s adresními údaji, nabídky s rodným čísly nebo korespondenci s citlivým obsahem. Poštovní schránka obsahující pouze obchodní kontaktní údaje dalších firem představuje jiné riziko než poštovní schránka plná souborů zákazníků nebo zdravotnické korespondence. Toto zvážení a související kroky jsou rozpracovány na stránce o kdy musím ohlásit porušení ochrany dat Úřadu pro ochranu osobních údajů?Vedle oznamování dohledovacímu orgánu se také řeší otázka, zda by měli být sami dotčení subjekty informováni, což má své vlastní hodnotící rámec.

Základ v GDPR: definice porušení a povinnost oznamování

Základ je v článku 4 GDPR, který definuje porušení zabezpečení osobních údajů jako přístup k nim, nebo ztrátu, změnu nebo zničení údajů, k nimž by nemělo dojít — popis, pod který obvykle spadá napadnutá poštovní schránka. Článek 33 GDPR na to navazuje podmínkou oznamování dohledovacímu orgánu: tato povinnost oznamování platí, když porušení představuje riziko pro práva a svobody dotčených subjektů, s výjimkou, pokud je toto riziko důvodně absentní. Pokyny EDPB tento koncept rizika dále rozpracovávají a Úřad pro ochranu osobních údajů nabízí na své stránce o porušeních ochrany dat praktický návod pro toto zvážení. Co je v celé EU stejné: definice a test rizika z nařízení. Co se liší podle zemí: dohledovací orgán, kterému se zpráva hlásí — v Nizozemsku Úřad pro ochranu osobních údajů, v ostatních členských státech dohledovací orgán dané země.