Kiedy powinienem zgłosić naruszenie bezpieczeństwa danych Urzędowi Ochrony Danych Osobowych?

Zgłoszenie jest główną zasadą, chyba że ryzyko jest mało prawdopodobne

Naruszenie ochrony danych zgłaszacie organowi nadzoru, gdy uzasadnionym jest stwierdzenie, że naruszenie stwarza ryzyko dla praw i wolności osób, których dane dotyczą. To jest istota artykułu 33 RODO: zgłoszenie jest punktem wyjścia, a jedynie wtedy, gdy można uzasadniać, że nie powstaje żadne ryzyko, zgłoszenie pozostaje bez skutku. W praktyce oznacza to, że większość naruszeń dotyczących danych osobowych — wiadomość e-mail zawierająca dane klienta wysłana do niewłaściwego adresata, skradziony laptop, zaatakowana baza danych — podlegają obowiązkowi zgłoszenia, podczas gdy naruszenie, które w oczywisty sposób nikogo nie może dotyczyć (na przykład dlatego, że dane były zaszyfrowane, a klucz nie został ujawniony) może być wyłączone.

Przy tej ocenie bierzecie pod uwagę to, co dokładnie się stało, jakie dane to dotyczy i kto może być tym dotknięty. Dane szczególnie chronione, dane finansowe lub dane dotyczące dzieci mają większą wagę niż pojedynczy adres e-mail. Termin 72 godzin z artykułu 33 RODO zaczyna bieg od momentu, gdy zdajecie sobie sprawę z naruszenia, nie od momentu, w którym powstało — te dwa momenty czasami różnią się o tygodnie. Drzewo decyzyjne, które przechodzi przez tę ocenę krok po kroku, nigdy nie zastępuje waszej własnej oceny konkretnego naruszenia, ale pomaga w uporządkowany sposób przejść przez pytanie "podlegające obowiązkowi zgłoszenia czy nie".

Gdzie to wynika z artykułu 33 RODO i wytycznych RODO

Sam obowiązek zgłoszenia znajduje się w artykule 33 RODO; wypełnienie takich pojęć jak "ryzyko" i "bez nieuzasadnionej zwłoki" pochodzi z wytycznych RODO dotyczących naruszeń ochrony danych, a Urząd Ochrony Danych Osobowych wyjaśnia to dla praktyki polskiej. RODO ma bezpośrednie zastosowanie w każdym państwie członkowskim, ale organ, u którego zgłaszacie, różni się: w Polsce jest to punkt zgłaszania Urzędu Ochrony Danych Osobowych, jedynego organu nadzoru dla całego kraju. W Niemczech zgłaszacie organowi nadzoru kraju związkowego, w którym znajduje się siedziba, ponieważ tam funkcjonuje szesnaście organów nadzoru krajowego obok federalnego organu nadzoru.