můj notebook se zákaznickými údaji byl украden – co mám teď dělat

Odcizený přenosný počítač s údaji zákazníků je obvykle porušením zabezpečení

Odcizený firemní přenosný počítač s údaji zákazníků se ve většině případů počítá jako porušení zabezpečení údajů, jak to definuje článek 4 GDPR. Údaje se dostávají mimo kontrolu organizace, a právě na to se tato definice zaměřuje — přitom nezáleží na tom, zda je přenosný počítač odcizen z auta, tašky nebo kanceláře. To, co přesně bylo v přenosném počítači, a zda byly tyto informace šifrovány nebo jinak chráněny, ovlivňuje vážnost situace, ale samotná krádež je výchozím bodem posouzení. Podrobnější vysvětlení toho, co do této definice patří a co ne, naleznete na stránce vědomostní základny o tom, co je porušení zabezpečení údajů.

Od okamžiku zjištění probíhají dva procesy současně: zjišťování faktů (které údaje, od koho, kolik osob a zda byl přenosný počítač šifrován) a otázka, zda musí být hlášeno — dozornímu úřadu a případně samotným subjektům údajů. Obě otázky závisí na riziku, které odcizené údaje pro lidi představují, a právě toto riziko je důvodem, proč se prázdný nebo dobře šifrovaný přenosný počítač posuzuje jinak než přenosný počítač plný nešifrovaných souborů zákazníků. Jak funguje posouzení při hlášení dozornímu úřadu, je podrobně vysvětleno na stránce o kdy musí být porušení zabezpečení hlášeno Úřadu pro ochranu osobních údajůa otázka, zda by měli být subjekty údajů samy informovány, se nachází na stránce o informování subjektů údajů při porušení zabezpečení.

Zdroj: článek 4, článek 32 a článek 33 GDPR

Definice porušení zabezpečení se nachází v článku 4 GDPR, povinnost adekvátně chránit údaje — včetně rizika ztráty zařízení — v článku 32 a oznamovací povinnost dozornímu úřadu v článku 33. Tyto tři články platí přímo v celé EU, takže posouzení toho, zda je odcizený přenosný počítač porušením zabezpečení údajů podléhajícím hlášení, probíhá všude podle stejných pravidel. Co se však v jednotlivých státech liší, je dozorný úřad, kterému se hlášení předkládá: v Nizozemsku je to Úřad pro ochranu osobních údajů, v jiných členských státech příslušný národní dozorný úřad daného státu. Pokyny EDPB poskytují další vysvětlení toho, jak se tyto články v praxi uplatňují, a Úřad pro ochranu osobních údajů nabízí na vlastní stránce o porušeních zabezpečení údajů neerlandský komentář k stejným pravidlům.