mój laptop z danymi klientów został skradziony, co mam zrobić

Skradziona laptopa zawierająca dane klientów to zazwyczaj naruszenie ochrony danych

Skradziona laptopa biznesowa zawierająca dane klientów zalicza się w większości przypadków jako naruszenie bezpieczeństwa danych osobowych, zgodnie z definicją w artykule 4 rozporządzenia (EU) 2016/679. Dane wychodzą poza kontrolę organizacji, i to dokładnie to, na co wskazuje ta definicja — nie ma znaczenia, czy laptop został skradziony z samochodu, torby czy biura. To, co dokładnie znajdowało się na tej laptopie i czy informacje były zaszyfrowane lub w inny sposób chronione, ma wpływ na poważność sytuacji, ale samo kradzież to punkt wyjścia oceny. Bardziej szczegółowe wyjaśnienie tego, co wchodzi i nie wchodzi w zakres tej definicji, znajduje się w stronie bazy wiedzy na temat tego, czym dokładnie jest naruszenie ochrony danych.

Od momentu wykrycia biegną równolegle dwie rzeczy: ustalenie faktów (jakie dane, od kogo, ilu osób i czy była szyfracja) oraz pytanie, czy należy to zgłosić — organowi nadzorczemu i ewentualnie samym osobom, których dane dotyczą. Oba pytania zależą od ryzyka, jakie skradzione dane stanowią dla ludzi, a to ryzyko to dokładnie powód, dla którego pusta lub dobrze zaszyfrowana laptopa jest oceniana inaczej niż laptopa pełna niezaszyfrowanych plików klientów. Jak ta ocena dla zgłoszenia organowi nadzorczemu przebiega, szczegółowo opisano na stronie dotyczącej kiedy naruszenie ochrony danych musi być zgłoszone Urzędowi Ochrony Danych Osobowych, a pytanie, czy osoby, których dane dotyczą, powinny również otrzymać powiadomienie, znajduje się na stronie dotyczącej informowania osób, których dane dotyczą, w przypadku naruszenia ochrony danych.

Podstawa: artykuł 4, artykuł 32 i artykuł 33 rozporządzenia (EU) 2016/679

Definicja naruszenia znajduje się w artykule 4 rozporządzenia (EU) 2016/679, obowiązek odpowiedniego zabezpieczenia danych — w tym ryzyko utraty urządzenia — w artykule 32, a obowiązek zgłoszenia organowi nadzorczemu w artykule 33. Te trzy artykuły mają bezpośrednie zastosowanie na całej terenie Unii Europejskiej, więc ocena tego, czy skradziona laptopa to naruszenie wymagające zgłoszenia, przebiega wszędzie według tych samych zasad. To, co różni się między krajami, to organ nadzorczy, do którego trafia zgłoszenie: w Niderlandach jest to Urząd Ochrony Danych Osobowych, w innych państwach członkowskich — krajowy organ nadzorczy tego kraju. Wytyczne EDPB zawierają dodatkowe wyjaśnienie dotyczące praktycznego stosowania tych artykułów, a Urząd Ochrony Danych Osobowych oferuje na swojej stronie dotyczącej naruszeń danych osobowych wyjaśnienie tych samych zasad dla Niderlandów.