Samotné oznámení porušení ochrany osobních údajů Úřadu pro ochranu osobních údajů nic nestojí: není třeba platit žádný poplatek nebo úhradu. Náklady se skrývají v tom, co se děje kolem: zjištění, co přesně se stalo, informování osob, kterých se to týká, případné technické nápravné práce a čas, který to všechno vaší organizaci zabere. Jak vysoké to vyjde, výrazně závisí na rozsahu porušení, typu údajů a na tom, zda už jste měli nějaký proces na místě předtím, než došlo k problému.
Neexistuje pevná částka za "porušení ochrany osobních údajů", protože žádná dvě porušení nejsou stejná. Omylem odeslané e-mail s kontaktními údaji jednoho zákazníka vyžaduje něco jiného než vniknutí do systému s personálními spisy sto zaměstnanců. Jednotlivé nákladové položky patří vždy do stejných kategorií; liší se jen jejich rozsah.
Odkud náklady pocházejí
První nákladovou položkou je interní čas: někdo musí zjistit, co se stalo, která data byla zasažena a zda se blíží zákonná lhůta sedmdesáti dvou hodin pro oznámení Úřadu pro ochranu osobních údajů. Tyto hodiny jsou často podceňovány, zejména pokud neexistuje pevný kontakt nebo proces a více lidí se současně zabývá stejným incidentem.
Navíc může být zapotřebí externí pomoc: IT poskytovatel, který musí technicky uzavřít porušení, forenzní vyšetřovatel v případě vážnějšího vniknutí, nebo právník, který se podívá na otázku, zda a jak je třeba oznámit. Ne každé porušení ochrany osobních údajů vyžaduje všechny tyto články, ale v případě závažnějšího incidentu tyto náklady rychle rostou.
Informování osob, kterých se to týká, také zabere čas a někdy i peníze: vypracování pečlivého a srozumitelného dopisu nebo e-mailu, odpovídání na otázky, které na to následují, a v některých případech nabídnutí nějaké formy zadostiučinění, jako je nový přihlašovací kód nebo bezplatné služby. Rozhodovací strom na v několika otázkách zjistit, zda a jak musíte hlásit pomáhá upřesnit první krok, abyste zbytečně netrávili čas pochybnostmi.
Co určuje výši
Klíčovým faktorem je rozsah: kolik lidí je postiženo a jak citlivá jsou data. Únik s jmény a e-mailovými adresami se liší od úniku finančních dat nebo zdravotních údajů. Pokyny EDPB a samotné GDPR uvádějí tento druh rizikových faktorů jako základ pro posouzení, nikoli jako vzorec pro výpočet částky.
Druhým faktorem je, jak rychle je únik zjištěn a jak jasné je, kdo je za co odpovědný. Pokud je v dohodě o zpracování dat již stanoveno, koho musí dodavatel upozornit a v jaké lhůtě, ušetří se vyšetřovací práce v okamžiku, kdy se něco pokazí. Pokud tato dohoda neexistuje, stojí vlastní incident více času na pochopení, ještě předtím, než se začne s nápravou.
Třetím faktorem je, zda má vaše organizace již vypracovaný proces: pevný akční plán, seznam osob k upozornění a místo, kde jsou zaznamenány předchozí incidenty. Bez toho je třeba při každém incidentu znovu vymýšlet, kdo co dělá, což v situaci, kdy jsou oba zdroje vzácné, stojí čas i klid.
Samotné hlášení je bezplatné, příprava ne
Je dobré si toto rozlišení jasnělnit: povinnost hlásit Úřadu pro ochranu osobních údajů s sebou nenese žádné náklady, ale schopnost správně toto hlášení provést ano. Ten, kdo musí určit, zda musí být incident hlášen v rámci zákonné lhůty a co v něm přesně musí být, potřebuje na to čas. Přehled toho, co má hlášení obsahovat a jaké podklady obvykle potřebujete, je popsán v znalostní bázi s vysvětlením podle tématu.
Mnohé z těchto nákladů nejsou jednorázové, ale opakující se, jednoduše proto, že úniky dat nejsou plánovány a mohou se znovu vyskytnout i po letech. Proto se některé organizace rozhodují nechat hodiny, kroky a dokumentaci běžet v systému, místo aby je pokaždé ručně rekonstruovaly. Jaké náklady takový abonament stojí a co za to dostáváte, je vidět na stránce s cenami s rozpočtem na jednotlivé součásti.
Předběžná dokumentace šetří následné práci
Největší úsporu nákladů najdete obvykle ne v samotném incidentu, ale v přípravě na něj: aktuální registr zpracování, jasné dohody se dodavateli a jasný kontaktní bod znamenají, že únik dat stojí méně času na posouzení a řešení. Časté dotazy týkající se toho, co je v tomto ohledu povinné a co není, jsou shromážděny na stránce s odpověďmi na otázky, které si kladou i další podnikatelé.
Chcete si pro vaši konkrétní situaci vytvořit první představu o tom, kde se nacházíte? Bezplatná rychlá kontrola vám v několika otázkách poskytne indicii bez toho, abyste k tomu potřebovali účet.