GDPR stanoví, že únik dat, který může představovat riziko pro subjekty údajů, musí být nahlášen Úřadu pro ochranu osobních údajů jakmile se o něm dozvíte. Lhůta je krátká: 72 hodin. Pokud nenahlásíte, nebo nahlásíte pozdě, v tomto bodě nebudete plnit povinnost vyplývající z GDPR. Co to konkrétně znamená, závisí na situaci, a přesně proto jako redakce neuděláme žádné prohlášení: rozhoduje se sám, váš právník nebo dozorující orgán.
To, co se dá popsat: GDPR dává Úřadu pro ochranu osobních údajů pravomoci, aby prošetřil únik dat, který nebyl nahlášen nebo byl nahlášen pozdě, a aby na něj reagoval. Jaká bude reaktivní a zda se uskuteční, není určeno a není předvídatelné. Otázka pro vás jako podnikatele tedy není tak moc "jaký je trest", jako spíše "co musím zajistit, aby byl čas na posouzení, zda je hlášení nutné".
Co přesně hlášení vyžaduje
GDPR rozlišuje mezi hlášením dozorujícímu orgánu a hlášením samotným subjektům údajů. První připadá v úvahu v případě úniku, který může představovat riziko; druhá, těžší varianta, připadá v úvahu v případě vysokého rizika. Obě posouzení musí probíhat rychle, a 72hodinová lhůta pro dozorující orgán počíná od okamžiku, kdy jste únik zjistili, nikoli od okamžiku jeho vzniku. Kdo si ještě toto rozlišení neujasnil, může si jej ujasnil v několika otázkách: v pěti otázkách vám ukáže, kde stojíte dává bezprostředný náznak, zda hlášení připadá v úvahu.
Jádrem problému při pozdní hlášení obvykle není neochota, ale čas ztracený na nejasnosti: kdo by to měl zvládnout, jedná se vůbec o únik dat ve smyslu GDPR a máme vlastně přehled o tom, které systémy obsahují osobní údaje. To poslední je přesně místo, kde se prokazuje hodnota registru zpracování: bez přehledu o vašem zpracování stojí zjištění rozsahu úniku zbytečně mnoho z těch 72 hodin, které máte.
Také nenhlášení musíte umět zdůvodnit
Méně známý bod je ten, že GDPR také vyžaduje, abyste si zaznamenali, kdy se rozhodnete neúnik nenahlásit a proč. Povinnost zdůvodnění se totiž vztahuje na samotné posouzení, nikoli pouze na hlášení, pokud k němu dojde. Únik, který vyhodnotíte jako "žádné riziko pro subjekty údajů" a který nikde nezaznamenáte, je následně obtížné doložit, pokud by se na něj ptali. Pokyny EDPB se tímto problémem podrobně zabývají; místo zdroje a jeho vysvětlení naleznete v znalostní bázi podle tématu.
Důsledky, které jdou dále než dozorující orgán
Mimo vztah s Úřadem pro ochranu osobních údajů jsou ještě dvě místa, kde se zmeškaná hlášení mohou objevit. Prvním je smlouva o zpracování: pokud pro klienta zpracováváte osobní údaje, bývá v ní často vlastní hlášená lhůta, někdy kratší než právní 72 hodin, a ta lhůta pak platí vedle GDPR. Druhým je sám subjekt údajů: někdo, jehož údaje byly vyzrazeny a který se o tom dozvěděl sám bez vašeho hlášení, si ten důvěru již nemůže vrátit, což stojí mimo jakéhokoliv právního posouzení.
Také pojišťovna nebo objednávající orgán, který se později ptá, jak bylo s únikem zacházeno, se dívá na to, zda byla včasná posouzení a, kde třeba, hlášení. To je něco jiného než pokuta, ale dotýká se toho, co je často důvodem k zajištění pořádku v ochraně osobních údajů: demonstrace, že existuje proces, nejen že se nikdy nic nesebralo.
Proč je hodiny často úzkým místem
V praxi není často vůle hlásit, která chybí, ale rychlost, s jakou může organizace zjistit, co se stalo, která data se týkají a kdo je zapojen. Systém, který spustí 72hodinovou lhůtu, jakmile je zaregistrován možný únik, zabraňuje tomu, aby se tento čas ztratil v interní diskusi. Jak je takový systém postaven a na čem jsou informace založeny, je popsáno na stránce o kde informace pocházejí.
Zda je konkrétní incident v Případě vaší povinnosti hlášení, kterou právě lhůta platí v Případě vaší situace a jaké jsou důsledky, pokud bylo hlášení zmešeno, nelze zodpovědět obecně. Pro toto posouzení je právník nebo samotný Úřad pro ochranu osobních údajů vhodným kontaktním bodem.
Chcete si nejprve sami udělat představu o tom, kde se nacházíte, bez povinností? Bezplatná rychlá kontrola a znalostní báze poskytují první náznaky podle tématu, včetně odkazy na místo v oficiálním textu.