Při porušení ochrany údajů potřebujete v podstatě tři druhy dokumentů: interní záznam o tom, co se stalo, posouzení, zda je oznámení Úřadu pro ochranu osobních údajů povinné, a — pokud ano — samotné oznámení s jeho zdůvodněním. Pokud přichází oznámení také subjektům údajů, počítá se i tato komunikace jako dokument, který je třeba zachovat.
Detail, který se v tomto tématu nejčastěji přehlíží, je interní registrace. I když se po posouzení rozhodnete, že porušení ochrany údajů nemusí být oznámeno Úřadu pro ochranu osobních údajů, GDPR i nadále vyžaduje, aby jste incident sami zaznamenali: co se stalo, které údaje se to týkalo, jaké by byly důsledky a proč jste dospěli k závěru. Mnoho podnikatelů si myslí, že něco musí být zaznamenáno až v okamžiku, kdy se provádí oznámení. To není to, co nařízení popisuje.
Interní záznam o incidentu
Toto je dokument, který by měl existovat u každého porušení ochrany údajů, bez ohledu na výsledek vašeho posouzení. Popisuje, kdy jste incident objevili, co přesně se stalo, které kategorie údajů a které subjekty údajů se to týkalo, a jaká opatření jste přijali, aby se důsledky omezily. Při kontrole dohledávající osoby nepreferují pouze oznámení, která byla provedena, ale také to, zda organizace může prokázat, jak byly dřívější incidenty posouzeny. Bez tohoto dokumentu toto zdůvodnění neexistuje.
Posouzení, zda je oznámení nutné
Vedle faktické registrace je potřeba druhý dokument: samo posouzení. Jaká rizika jste viděli pro subjekty údajů a na základě čeho jste dospěli k závěru, že oznámení bylo či nebylo nutné? GDPR rozlišuje riziko pro práva a svobody subjektů údajů jako měřítko. Zaznamenání tohoto posouzení není jen příjemné pro vás později, je to také dokument, kterým můžete prokázat, že bylo učiněno vědomé rozhodnutí, a ne náhoda. Pokud si nejste jisti, zda je konkrétní incident oznamovací povinný, najdete v rozhodovacím stromě, který v několika otázkách dá první indikaci výchozí bod, bez toho aby se tím nahradilo vaše vlastní posouzení.
Oznámení Úřadu pro ochranu osobních údajů
Vyjde-li z závěru, že oznámení je nutné, přichází samotné oznámení jako dokument: co jste oznámili, kdy a s jakými údaji. GDPR pro to stanovuje lhůtu 72 hodin od doby, kdy jste se o porušení ochrany údajů dozvěděli. Uchovávejte nejen potvrzení oznámení, ale také verzi faktů, jak byly známy v okamžiku oznamování — ta může být později doplněna, pokud se zjistí více o rozsahu.
Komunikace se subjekty údajů
V řadě případů by mělo být také sdělení samotným subjektům údajů, například když se riziko pro ně považuje za významné. I toto sdělení — co přesně bylo sděleno a komu — je součástí spisu. Není to pevná šablona, která je stejná pro každé porušení ochrany údajů; obsah závisí na tom, co se stalo a které údaje jsou dotčeny.
Dohody se subjekty zpracování a poskytovateli služeb
Pokud k porušení ochrany údajů dojde u strany, která pro vás zpracovává údaje, jako je účetní software nebo poskytovatel hostingu, měla by být dohoda, která je na toto téma zaznamenána ve smlouvě o zpracování, také součástí spisu: oznámí vám tato strana incidenty a v jaké lhůtě? Pokud toto ještě nemáte jasné, najdete v znalostní bázi, kde je to pro jednotlivé situace zpracováno výchozí bod pro přezkoumání smluv o zpracování z tohoto hlediska.
Proč se tento spis liší od vašich bezpečnostních opatření
Dokumentace týkající se narušení ochrany osobních údajů se liší od opatření, která jste předem přijali, aby se narušení ochrany osobních údajů zabránilo, ale obě se vzájemně dotýkají: dozorčí úřad vám může položit otázku, jak vypadala vaše bezpečnost v okamžiku incidentu. Jak se ochrana údajů v praxi zaznamenává, si můžete přečíst v vysvětlení vhodných bezpečnostních opatření.
Mít to nyní v pořádku
Znalostní báze a rozhodovací strom lze bezplatně konzultovat bez účtu. Chcete-li mít záznam incidentů, termíny a šablony pro ně trvalě na jednom místě, místo aby jste je pokaždé znovu hledali, je to přesně to, na co je zaměřeno předplatné gdpria.eu. Obchodní účet si vytvoříte na základě vašeho čísla KvK a DIČ, připojený k organizaci a ne k jedné e-mailové adrese.
Máte-li v současné době možné narušení ochrany osobních údajů k posouzení, nejprve si projděte bezplatnou rychlou kontrolu nebo si přečtěte témata ve znalostní bázi. Aby vám bylo vysvětleno, co přesně patří do vaší situace, zůstává právník nebo Úřad pro ochranu osobních údajů tím správným kontaktem.