moja biznesowa skrzynka mailowa została zhakowana, czy muszę to zgłosić

Skrzynka pocztowa podlegająca włamaniu to zwykle naruszenie danych; obowiązek zgłoszenia zależy od skutków

Zhakowana służbowa skrzynka pocztowa jest w większości przypadków naruszeniem w rozumieniu RODO: dochodzi do nieuprawnionego dostępu do danych osobowych, a taki dostęp powstaje niemal zawsze, gdy ktoś z zewnątrz loguje się na konto zawierające dane klientów lub kontakty. To ustala, że doszło do czegoś, co mieści się w definicji czym dokładnie jest naruszenie danych? Jednakże niekoniecznie oznacza to automatycznie obowiązek zgłoszenia organowi nadzoru.

To, czy zgłoszenie organowi nadzoru jest właściwe, zależy od ryzyka, jakie naruszenie stwarza dla osób, których dane były w tej skrzynce — pomyśl o fakturach z danymi adresowymi, ofertach z numerami PESEL lub korespondencji o wrażliwej zawartości. Skrzynka zawierająca tylko służbowe dane kontaktowe od firm partnerskich stwarza inne ryzyko niż skrzynka pełna akt klientów lub korespondencji medycznej. Ta ocena i związane z nią kroki są opracowane na stronie poświęconej kiedy muszę zgłosić naruszenie danych Prezesowi Urzędu Ochrony Danych Osobowych?. Poza zgłoszeniem organowi nadzoru pojawia się także pytanie, czy osoby, których dane dotyczą, muszą się o czymś dowiedzieć — co podlega oddzielnym kryteriom oceny.

Podstawa w RODO: definicja naruszenia i obowiązek zgłoszenia

Podstawę stanowi artykuł 4 RODO, który definiuje naruszenie bezpieczeństwa danych osobowych jako dostęp do danych, utratę, zmianę lub zniszczenie danych, do którego nie powinno dojść — określenie, pod które zwykle podpada zhakowana skrzynka pocztowa. Artykuł 33 RODO wiąże z tym warunek zgłoszenia organowi nadzoru: obowiązek zgłoszenia powstaje, gdy naruszenie stwarza ryzyko dla praw i wolności osób, których dane dotyczą, z wyjątkiem sytuacji, w której takie ryzyko uzasadnienie nie występuje. Wytyczne EDPB rozwijają dalej to pojęcie ryzyka, a Prezes Urzędu Ochrony Danych Osobowych na swojej stronie poświęconej naruszeniom danych oferuje praktyczny przewodnik dla tej oceny. To, co jest jednakowe w całej UE: definicja i test ryzyka z rozporządzenia. To, co różni się w poszczególnych krajach: organ nadzoru, do którego trafia zgłoszenie — w Polsce Prezes Urzędu Ochrony Danych Osobowych, w innych państwach członkowskich organ nadzoru tego kraju.