jakie są konsekwencje, jeśli nie zgłoszę naruszenia bezpieczeństwa danych do UODO

Niezgłoszenie może mieć konsekwencje wykraczające poza samo naruszenie

Kto nie zgłosi naruszenia ochrony danych wymagającego zgłoszenia organowi nadzoru, ryzykuje, że organ nadzoru pozna je sam i podejmie działania na podstawie artykułu 33 RODO, który reguluje obowiązek zgłoszenia w ramach wskazanego terminu. Urząd Ochrony Danych Osobowych i inne europejskie organy nadzoru mają kompetencje do prowadzenia postępowań, zadawania pytań i nakładania sankcji w przypadku stwierdzenia naruszenia. Fakt, że naruszenie nie zostało zgłoszone, często ujawnia się dlatego, że sam zainteresowany osób składa skargę, że dane pojawią się w innym miejscu, lub dlatego, że procesor lub dostawca zgłosi naruszenie, a organ nadzoru będzie prowadzić dalsze ustalenia — zobacz też co zrobić, gdy dostawca zgłosi naruszenie ochrony danych.

Oprócz ryzyka przed organem nadzoru pojawia się jeszcze jedna kwestia: niezgłoszenie naruszenia jest niezależne od pytania, czy osoby, których dane dotyczą, muszą być powiadomione. Obowiązek ten wynika z artykułu 34 RODO i może utrzymywać się nawet jeśli zgłoszenie organowi nadzoru zostało pominięte — razem ze wszystkimi skutkami dla wizerunku i utraty zaufania, które mogą się pojawić, gdy ujawni się to później. Nawet naruszenie, które nie wymaga zgłoszenia, powinno pozostać odnotowane we własnej dokumentacji; zobacz dlaczego naruszenia ochrony danych, które nie są zgłaszane, powinny być rejestrowane.

Co na ten temat mówią przepisy

Obowiązek zgłoszenia jest określony w artykule 33 RODO i obowiązek ten ma bezpośrednie zastosowanie w każdym państwie członkowskim UE. Miejsce, do którego trafia zgłoszenie, różni się w zależności od kraju: w Holandii jest to Urząd Ochrony Danych Osobowych, w innych państwach członkowskich — krajowy organ nadzoru tego kraju — EIOD prowadzi przegląd tych organów nadzoru i publikuje wytyczne dotyczące wykładni obowiązku zgłoszenia. Szczegółowe zasady dotyczące tego, kiedy coś wymaga lub nie wymaga zgłoszenia, opisane są na stronie dotyczącej oceny, czy naruszenie ochrony danych musi być zgłoszone.