ztratil jsem USB disk se zákaznickými údaji – jde o porušení bezpečnosti údajů

Ztracená USB flash jednotka je obvykle únikem dat

USB flash jednotka s údaji o zákaznících, která se ztratila, je ve většině případů únikem dat ve smyslu GDPR. Definice v článku 4 GDPR hovoří o porušení zabezpečení, které vede ke ztrátě osobních údajů, a to je právě to, co se stane, když se USB jednotka se jmény, adresami nebo jinými údaji o zákaznících už nenajde: údaje nejsou zničeny, ale dostaly se mimo kontrolu podniku. Zda se také dostanou do špatných rukou, není jádrem otázky — ztráta kontroly stačí k tomu, aby spadala pod definici.

To, co se stane dál, závisí na tom, co bylo na jednotce a jak byla zabezpečena. Zašifrovaná jednotka s omezenou sadou údajů vytváří jiný obraz než nezabezpečená jednotka s velkým množstvím údajů o zákaznících nebo citlivých informací. Toto rozlišení je relevantní pro otázku kdy musím nahlásit únik dat Úřadu pro ochranu osobních údajů, a také pro otázku, zda by si o tom měli sami lidé, kterých se údaje týkají, něco slyšet — tato otázka je popsána na stránce o musím o úniku dat informovat osoby, kterých se údaje týkají. Pro rozlišení mezi incidentem a únikem dat v širším slova smyslu je stránka co je přesně únik dat logickým výchozím bodem.

Na čem je to založeno

Definice porušení je uvedena v článku 4 GDPR a článek 33 GDPR upravuje oznámení dozorčímu orgánu, jakmile jsou splněny podmínky. Úřad pro ochranu osobních údajů to dále rozebírá na své stránce o hlášení úniků dat a EDPB zveřejnil pokyny s příklady typů úniků dat, včetně ztráty datových nosičů. Povinnost hlášení platí v celé EU na základě nařízení, ale místo, kde se hlašuje, se v jednotlivých zemích liší: v Nizozemsku je to Úřad pro ochranu osobních údajů, v jiných členských státech je to dozorčí orgán určený v příslušné zemi.