kto jest odpowiedzialny za zgłoszenie naruszenia bezpieczeństwa danych w mojej firmie

Odpowiedzialność spoczywa na organizacji, a nie na jednym pracowniku

RODO nakłada obowiązek powiadomienia na organizację, która jest administratorem danych, a nie na indywidualnego pracownika, który odkrył lub spowodował wyciek. To, kto faktycznie dokonuje powiadomienia w firmie, nie jest regulowane przez RODO — jest to kwestia wewnętrzna. W praktyce są to zwykle właściciel, dyrektor lub osoba specjalnie wyznaczona do spraw ochrony danych, taka jak inspektor ochrony danych, jeśli taki został powołany. W przypadku samozatrudnionego lub małej firmy bez dedykowanej funkcji ta odpowiedzialność zwykle pada na osobę prowadzącą działalność.

To, co jest pewne, to fakt, że musi być ktoś, kto wie, że powiadomienie może być konieczne zaraz po wycieku, i kto może ocenić, czy co dokładnie wchodzi w definicję naruszenia bezpieczeństwa danych ma tu zastosowanie. Firma, która niczego nie ustaliła w sprawie tego, kto się tym zajmuje, ryzykuje, że wyciek zostanie stwierdzony, ale nikt nie podejmie następnych kroków — podczas gdy licznik czasu zaczyna się od momentu odkrycia. Nawet jeśli przetwarzanie zostało powierzone stronie trzeciej, nie zmienia to tego, kto pozostaje odpowiedzialny za powiadomienie: to i pozostaje organizacja, również gdy dostawca sam zgłosi naruszenie bezpieczeństwa danych.

Podstawa prawna: artykuł 33 RODO

Artykuł 33 RODO zawsze odnosi się do "administratora danych" jako strony, która musi powiadomić organ nadzoru, bez wymagania określonej funkcji wewnętrznej lub osoby; to, kto faktycznie to realizuje, zależy od samej organizacji. Urząd Ochrony Danych Osobowych potwierdza na swojej stronie dotyczącej naruszeń bezpieczeństwa danych, że obowiązek powiadomienia spoczywa na organizacji, a nie na konkretnym pracowniku. To, któremu organowi nadzoru należy złożyć powiadomienie, różni się w zależności od państwa członkowskiego: w Polsce jest to Urząd Ochrony Danych Osobowych, natomiast w innych państwach UE właściwy jest krajowy organ nadzoru. Więcej informacji na temat kroków, które należy podjąć, i roli organu nadzoru znajduje się w kiedy naruszenie bezpieczeństwa danych musi być zgłoszone organowi nadzoru.