Jádrem věci: samotná povinnost hlášení se nemění
Povinnost hlášení v případě úniku dat je obsažena v GDPR samotném se známou lhůtou 72 hodin od zjištění směrem k Úřadu pro ochranu osobních údajů a s odděleným posouzením, zda musí být informováni také samotní subjekty údajů. Tento text je součástí evropské nařízení a každoročně se nemění. Pokud je nám známo, v tomto roce nedochází k žádné změně samotného nařízení, která by se týkala povinnosti hlášení nebo lhůty. Co se naopak mění, je výklad kolem něj: jak EDPB a Úřad pro ochranu osobních údajů vyplňují otevřené normy zákona a jak se další právní předpisy dostávají vedle GDPR. Pro malé a střední podnikání je to často relevantnější než samotný text zákona, protože právě tento výklad určuje, kdy je incident považován za podléhající hlášení.
Nejde tedy o nové datum nebo nový artikul, které byste si měli zapamatovat, ale o tři posuny, které zasahují praxi: přísnější pokyny o tom, co se počítá jako únik dat, větší soulad se sektorovým právním předpisem jako NIS2, a jinou realitu, protože incidenty stále častěji vznikají u poskytovatele SaaS než v samotné společnosti.
Pokyny, které posouvají hranici
GDPR samo o sobě popisuje únik dat v obecných termínech: porušení bezpečnosti, které vede ke zničení, ztrátě, změně nebo neoprávněnému zpřístupnění osobních údajů. Co konkrétně pod tím spadá, se rok co rok dále vyplňuje pokyny EDPB a vlastním výkladem Úřadu pro ochranu osobních údajů. V posledních letech se více vyjasnilo v pohraničních případech: chybně odeslané e-mailu s přílohou, zaměstnancem, který se přihlašuje na špatný účet, nebo záloze, která je dočasně nedostupná. Takové situace se dříve často řešily jako interní záležitost; linie v pokynech je taková, že i bez zlého úmyslu zaměstnance se může jednat o incident podléhající hlášení. Pro ředitele nebo vedoucího kanceláře to znamená, že posouzení se méně často může opírat o cit z břicha a více o pevný akční plán. Kdo si není jistý, zda konkrétní případ spadá pod povinnost hlášení, může to nechat vypracovat v několika otázkách prostřednictvím rozhodovacího stromu gdpria.eu v několika otázkách zjistit, zda se jedná o únik dat podléhající hlášení.
Soulad s dalším právním předpisem
Druhý posun není v GDPR samotném, ale v právních předpisech, které se k němu přidávají. Pro organizace, které jsou součástí sektorů spadajících pod právní předpisy jako NIS2, nebo jejich zhotoviteli, může bezpečnostní incident podléhat současně dvěma režimům hlášení: GDPR pro osobní údaje a sektorová povinnost hlášení pro samotnou službu. To se nedotýká každého malého a středního podnikání, ale zasáhne instalatéry, poskytovatele IT služeb a další strany, které slouží jako zhotovitel pro větší, regulovanou organizaci. Pro tuto skupinu je vhodné zkontrolovat, zda zákazník nebo objednávatel mezitím do smlouvy přidal doplňující dohody o hlášení vedle toho, co již v dohodě o zpracování údajů stojí. Kdo chce zkontrolovat, co přesně taková smlouva stanovuje o lhůtách hlášení a odpovědnosti, najde podrobnější informace v znalostní base s vysvětlením pro jednotlivá témata.
Praxe se posouvá směrem k poskytovateli SaaS
Třetí změna je méně otázkou právní úpravy a více otázkou faktického vývoje: rostoucí část incidentů, s nimiž se setkávají české společnosti, nevzniká u nich samotných, ale u poskytovatele softwaru, který používají pro účetnictví, personalistiku nebo komunikaci se zákazníky. Odpovědnost za posouzení, zda z toho vyplývá oznamovací povinnost při porušení údajů, zůstává však u společnosti, která nechá údaje zpracovávat, nikoli automaticky u poskytovatele. Poskytovatel, který sám incident ohlásí, neuvolňuje zadavatele z vlastního posouzení. To činí ještě důležitějším domluvit se předem na tom, jak a kdy poskytovatel incident ohlásí, a také tuto dohodu nalézt v samotném přehledu používaných nástrojů. Společnosti, které ještě nemají úplný přehled, jej mohou sestavit s pomocí pokyny k tomu, jak se systém vyplňuje ze známých nástrojů.
Co to pro vás znamená
Pro většinu malých a středních podniků se letos nemění právní lhůta samotná. Co je však moudré: pravidelně ověřovat vlastní přístup k řešení incidentů podle nejnovějších pokynů, prověřit, zda zadavatel stanovuje dodatečné dohody o oznámení, a mít s poskytovateli jasno v tom, kdo incident posuzuje jako první. Žádný z těchto bodů nevyžaduje právní studii, ale vyžaduje vyhrazený čas, aby se na něj podívalo.
Chcete si rychle ověřit, jak si vaše společnost vede v tomto ohledu? Otázky z bezplatné rychlé kontroly gdpria.eu vám dají první představu a v často kladené otázky o datových porušeních a oznamovací povinnosti najdete kratší odpovědi na související otázky.