Mohu si poradit s únikem dat sám?
Ano, velkou část posouzení a řešení úniku dat si můžete poradit sami. GDPR neukazuje, že musí být angažován právník nebo externí kancelář. To, co nařizuje GDPR, je, že musíte únik rozpoznat, posoudit, zda představuje riziko pro lidi, jejichž údaje byly ohroženy, a — pokud ano — včas to nahlásit Úřadu pro ochranu osobních údajů a případně i samotným subjektům údajů.
Zda si můžete poradit sami, záleží především na rozsahu a složitosti incidentu. Omylem poslané e-mailem s údaji jednoho zákazníka je něco jiného než hacknutý server s tisíci záznamy zákazníků. Hranice mezi vlastním řešením a outsourcingem není daná zákonem, ale vašimi vlastními schopnostmi rychle a pečlivě posoudit, co se stalo.
Co si sami můžete posoudit
První otázkou v každém incidentu je, zda vůbec dochází k úniku dat v pojetí GDPR: došlo ke ztrátě osobních údajů, byly nahlédnuty osobou, která na to nemá právo, nebo byly omylem změněny nebo zničeny? Toto posouzení si můžete snadno provést pomocí jasného kontrolního seznamu. na několika otázkách vidíte, kde stojíte dává první představu bez nutnosti hledat pomoc poradce.
Pokud je skutečně únik, následuje posouzení rizika: představuje to nebezpečí pro práva a svobody subjektů údajů, například proto, že na ulici leží citlivé údaje nebo je možný podvod na identitu? Také toto zvážení lze v mnoha běžných situacích provést podle pokynů EDPB a výkladu, který na toto téma poskytuje Úřad pro ochranu osobních údajů. znalostní bázi s vysvětlením podle tématu popisuje kritéria, která zde hrají roli, spolu s odkazem na oficiální text.
Vlastní hlášení Úřadu pro ochranu osobních údajů mohou v praxi zvládat i mnohé firmy samy. Dozorující orgán má na to vlastní hlašovací formulář a informace, které se vyžadují — co se stalo, o jaké údaje jde, kolik lidí je postiženo a jaká opatření byla přijata — jsou informace, které jako organizace nejlépe znáte sami.
Kdy je rozumné hledat další pomoc
V některých situacích je vlastní řešení náročnější. Pokud jde o velký počet subjektů údajů, o zvláštní kategorie osobních údajů jako údaje o zdravotní péči, nebo o technický incident, jehož rozsah není jasný, je vhodné se nespoléhat jen na vlastní posouzení. Totéž platí, když má únik možné důsledky v jiném členském státě, nebo když není jasné, který dozorující orgán je příslušný.
Také informování samotných subjektů údajů — místo pouze dozorujícího orgánu — vyžaduje pečlivost. Tón, obsah a načasování takové komunikace do značné míry určují, jak lidé reagují, a nesprávně formulované zprávy mohou způsobit více obav než samotný incident. V těchto případech je rozumné poradit si s právníkem nebo kontaktovat Úřad pro ochranu osobních údajů, aby se zjistila vhodná cesta.
Co GDPR ukládá a co ne
Nařízení stanoví lhůtu, v níž musí být hlášením se podléhající únik nahlášen dozorujícímu orgánu, a zavazuje organizace zaznamenávat, které úniky dat se vyskytly, včetně úniků, které není třeba hlásit. Co GDPR nestanovuje, je, kdo tento proces v rámci vaší organizace provede. To znamená, že vlastní řešení je dovoleno, pokud výsledek splňuje to, co zákon vyžaduje.
Odpovědnost zůstává u organizace, i když je část práce svěřena poradci nebo agentuře. Nejde tedy o to všechno předat a dál se tím nezabývat, ale vědět, jaké kroky byly podniknuty a proč.
Dokumentování patří vždy k tomu
Ať už to děláte sami nebo se nechate podporovat, dokumentování je v obou případech nutné: co se stalo, kdy jste to zjistili, jaké zhodnocení rizika jste udělali a jaká opatření byla přijata, aby se předešlo opakování. Toto dokumentování je užitečné nejen pro dohled, ale také pro vás samotné, pokud by se podobný incident později objevil znovu.
Jak by měl takový podklad vypadat a které zdroje se přitom používají, lze přečíst na stránce, kde informace pocházejí. Máte-li pochybnosti o tom, zda je vaše situace meldovatelná, nejprve si vezměte bezplatnou kontrolu a přečtěte si příslušná témata v našem vzdělávacím centru, než se rozhodnete. Chcete-li proces rozpoznávání až po vyřešení strukturálně uvést do pořádku, můžete se zaregistrovat pro obchodní účet aby termíny a dokumentování běžely automaticky.